新型恶意木马 HollowGraph 曝光，利用微软 Graph API 及 Microsoft 365 日历功能进行攻击

7 月 22 日消息，安全公司 Group-IB 发文，披露业界出现一种名为 HollowGraph 的新型木马，该木马可利用微软 Microsoft 365 日历功能与 Microsoft Graph API 构建隐蔽的 C2 通道，与黑客控制的恶意服务器进行通信。

参考通报获悉，虽然 HollowGraph 本身仅支持 get 和 send 两类基础指令，但黑客可结合 Microsoft 365 日历功能，利用 Graph API 修改受害者预先创建的日历事件，以便在特定时间执行特定附件。

Group-IB 指出，HollowGraph 采用的指令格式与此前发现的 Cavern 模块化后门框架存在高度相似之处，因此推测它可能是该框架的另一种变体。

研究人员建议，企业应加强对 Microsoft Graph API 调用记录以及 Microsoft 365 邮箱审计日志的监控，重点关注异常创建的日历事件、可疑附件上传行为，以及邮件主题字段被异常修改等情况，以便及时发现潜在攻击活动。

延伸阅读

微软 Graph API 是微软提供的一套 RESTful API，允许开发者访问和管理微软云服务（如 Microsoft 365、Azure AD）中的数据，例如用户信息、邮件、日历和文件。在 2025 年 1 月，安全公司曾发现黑客利用 FastHTTP Go 库针对 Azure Active Directory Graph API 进行高速暴力破解攻击，攻击成功率接近 10%。更早的 2024 年 5 月，赛门铁克曾报告黑客滥用微软 Graph API 嵌入木马，利用其与微软服务器通信的合法性来逃避安全软件监测，并将恶意脚本存储在 OneDrive 等服务上。