這是一篇針對新型間諜軟體 HollowGraph 的技術分析。對於初入行的工程師來說，最值得關注的不是這個軟體能偷什麼，而是它如何利用「合法服務」來規避企業的安全監控。
傳統的惡意軟體通常會嘗試連接到攻擊者控制的伺服器（C2 Server），這種行為很容易被防火牆或網路偵測系統（IDS/IPS）透過異常的 IP 位址或域名攔截。然而，HollowGraph 採取了一種極其狡猾的策略：它將 Microsoft 365 的行事曆當作一個「死信箱」（Dead Drop Resolver）。
什麼是死信箱？簡單來說，就是攻擊者與受害者在一個第三方合法平台上約定好一個秘密位置，彼此在該處留下訊息，而不需要直接建立連線。
HollowGraph 的隱匿機制
這款惡意軟體被開發為一個 .NET DLL 檔案，它並不直接與攻擊者的伺服器交換指令，而是透過 Microsoft Graph API（微軟提供的一套讓應用程式存取 M365 數據的標準接口）來操作受害者的行事曆。
為了確保使用者不會發現，攻擊者將指令與偷走的檔案藏在日期設定為 2050 年 5 月 13 日的行事曆事件中。因為一般使用者幾乎不會翻閱到 20 年後的行事曆，這讓惡意活動在視覺上完全消失。
其運作流程分為兩部分：
接收指令（Get）：惡意軟體查詢 2050 年的特定行事曆事件，讀取附件中的加密指令。 外傳數據（Send）：將偷到的檔案加密後，建立一個同樣在遠未來的行事曆事件，並將檔案作為附件上傳。
由於所有流量都走的是合法的 Microsoft Graph API，在網路監控設備眼中，這看起來就像是正常的 M365 雲端同步流量，完全不會觸發針對惡意域名或 IP 的警報。
輔助通道與身分驗證
除了行事曆通道，HollowGraph 還使用了一種較為粗糙的 DNS 通道來維持連線。它透過查詢特定域名（如 cloudlanecdn[.]com）的 IPv6 AAAA 紀錄，來獲取更新後的 Entra ID（原 Azure AD）登入資訊，包括 Tenant ID（租戶識別碼）、Client ID（客戶端識別碼）以及 Client Secret（客戶端密鑰）。
這些身分驗證資訊被寫入一個偽裝成系統日誌的檔案 logAzure.txt 中。這意味著攻擊者並非利用軟體漏洞，而是透過盜用或非法獲取具有權限的應用程式身分來操作 API。
實務上的防禦挑戰與建議
這類攻擊最棘手的地方在於：沒有任何微軟的軟體漏洞可以修補（No Patch）。攻擊者利用的是「合法功能」與「過大的權限」。
針對此類威脅，工程師與資安維運人員應從以下三個維度建立防禦：
行事曆異常監控 檢查行事曆中是否存在日期極遠（如 2050 年）的事件。 留意主旨為 GUID（全球唯一識別碼）或符合特定模式（如 Boss.txt 的異常上傳行為。
身分與權限管理 嚴格審核使用 Client Credentials 流程的 OAuth 應用程式。 監控 Entra ID 中新建立的 Client Secret。 實施條件式存取（Conditional Access）與定期輪換憑證。
API 行為分析 監控由應用程式（而非真實使用者）驅動的行事曆異動，例如大量建立未來事件或修改事件主旨。 偵測 DNS 流量中是否存在高頻率且具有高熵（隨機性強）子域名的 AAAA 查詢。
總結
HollowGraph 提醒我們，現代的攻擊者正逐漸從「尋找漏洞」轉向「濫用信任」。當攻擊流量隱藏在 M365、OneDrive 或 Gmail 等信任服務中時，傳統的邊界防禦將失效。唯有透過精細的身分管理（Identity Security）與對 API 行為的深度監控，才能在這種「隱形」的攻擊中發現破綻。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。