Malware HollowGraph exploite les calendriers Microsoft 365 pour voler des données
Une nouvelle campagne d’espionnage a détourné la fonctionnalité de calendrier de Microsoft 365 pour en faire un canal de fuite de données improbable. Des chercheurs en sécurité de Group-IB ont découvert un nouvel implant baptisé HollowGraph, qui détourne le trafic légitime de l’API Microsoft Graph pour exfiltrer des fichiers volés et des instructions d’opérateurs sous couvert d’événements de calendrier routiniers – y compris ceux programmés pour l’année 2050. En mélangeant des charges malveillantes avec des communications professionnelles normales, le malware échappe aux défenses réseau traditionnelles qui surveillent les flux sortants inhabituels.
Un calendrier qui n’oublie jamais – ni ne se fait prendre
HollowGraph ne se contente pas d’envoyer des données : il intègre les fichiers volés en pièces jointes d’événements de calendrier semblant planifiés des décennies plus tard. Comme ces événements sont techniquement valides et exploitent l’infrastructure de Microsoft, ils contournent les filtres emails et les outils de surveillance des terminaux qui bloquent généralement les transferts de fichiers suspects. Le malware abuse de l’API Microsoft Graph, une couche d’intégration légitime utilisée par des millions d’organisations, pour lire les commandes « d’instruction » entrantes et charger les documents dérobés sans déclencher d’alerte.
Pourquoi cela compte
Cette technique marque un tournant dans l’innovation des attaquants, exploitant la confiance dans les écosystèmes cloud plutôt que de forcer les défenses périmétriques. Pour les défenseurs, elle souligne la nécessité d’analyser non seulement les charges utiles, mais aussi les anomalies de métadonnées et de timing dans les appels API légitimes. Les organisations utilisant Microsoft 365 doivent examiner les journaux d’audit de l’API Graph et mettre en place des politiques d’accès conditionnel plus strictes pour limiter les abus de ce canal hautement fiable. La promesse creuse des calendriers « prêts pour l’avenir » n’a jamais été aussi coûteuse.
Source : The Hacker News. Synthèse éditoriale assistée par IA — TechnoExpress.