E se o comando e controlo de um ataque informático não passasse por nenhum servidor suspeito, mas sim pelo calendário do Microsoft 365 da própria vítima? É exatamente essa a técnica de um novo malware batizado HOLLOWGRAPH, analisado pela Group-IB: em vez de comunicar com infraestrutura maliciosa — facilmente detetável —, esconde ordens e dados roubados dentro de eventos de calendário legítimos, todos convenientemente marcados para o ano de 2050. É um lembrete incómodo de que os serviços cloud em que mais confiamos podem ser transformados em canais de espionagem.
Em resumo: a Group-IB descobriu o HOLLOWGRAPH, um malware para Windows que abusa da API Microsoft Graph para transformar o calendário de uma conta Microsoft 365 comprometida num canal secreto de comando e controlo. Os atacantes deixam instruções em eventos de calendário e o malware exfiltra ficheiros criando os seus próprios eventos, todos datados de 13 de maio de 2050 para não serem notados, com os dados encriptados em anexo. Um segundo canal, por DNS tunneling, renova as credenciais de acesso. A Group-IB liga o malware, com elevada confiança, ao framework Cavern, e identificou 12 vítimas — o alvo aparenta ser entidades israelitas. A lição para todas as organizações: o tráfego para serviços cloud fidedignos também precisa de ser vigiado.
O calendário como “caixa de correio morta”
A ideia central do HOLLOWGRAPH é enganosamente simples. Depois de comprometer uma conta Microsoft 365, o malware usa a API Microsoft Graph — a interface legítima que permite às aplicações interagir com serviços como o Outlook, o calendário ou o OneDrive — para tratar o calendário dessa conta como uma dead drop, o equivalente digital de uma “caixa de correio morta” da espionagem clássica: um ponto neutro onde duas partes deixam e recolhem mensagens sem nunca contactarem diretamente.
O funcionamento resume-se a dois comandos. Com o comando get, o malware procura no calendário eventos plantados pelos operadores e descarrega as instruções anexadas. Com o comando send, cria os seus próprios eventos e anexa-lhes os ficheiros roubados, encriptados. Toda a comunicação acontece dentro da infraestrutura cloud da Microsoft — o malware nunca contacta diretamente um servidor controlado pelos atacantes para transferir dados, o que torna o tráfego malicioso praticamente indistinguível do tráfego normal de uma empresa que usa o Microsoft 365.
Para evitar que o verdadeiro dono da caixa de correio repare em atividade estranha, há um pormenor engenhoso: todos os eventos são datados de 13 de maio de 2050. Escondidos a mais de duas décadas no futuro, é altamente improvável que alguém tropece neles ao consultar a agenda. Os eventos de exfiltração recebem ainda títulos discretos, seguindo padrões internos como “Event ID:” seguido de um identificador, ou etiquetas do tipo “Boss…ID…” que só os operadores reconhecem.
Um segundo canal escondido no tráfego de DNS
Para se autenticar na API Graph, o malware precisa de credenciais válidas da conta Microsoft Entra ID (a antiga Azure AD). E aqui entra a segunda técnica de evasão: em vez de descarregar essas credenciais de um servidor, o HOLLOWGRAPH usa DNS tunneling. Faz consultas de DNS aparentemente inócuas — registos AAAA, do tipo usado para endereços IPv6 — a subdomínios de um domínio controlado pelos atacantes (cloudlanecdn[.]com), e descodifica as respostas para reconstruir as credenciais atualizadas.
Esta abordagem é particularmente furtiva porque o tráfego de DNS raramente é inspecionado com o mesmo rigor que o tráfego web, e as consultas IPv6 misturam-se facilmente com atividade legítima. As credenciais recuperadas — identificadores de tenant, de aplicação, o segredo de cliente e o endereço da caixa de correio-alvo — são depois guardadas num ficheiro em disco chamado logAzure.txt, deliberadamente disfarçado para parecer um simples ficheiro de registo.
Toda a comunicação pela API Graph é ainda protegida por encriptação híbrida — combinando RSA e AES-256 —, com pares de chaves distintos para cada sentido, de modo a que as ordens recebidas e os dados exfiltrados permaneçam criptograficamente independentes. É o tipo de cuidado técnico que denuncia um atacante experiente e bem-organizado.
Quem está por trás — e quem são os alvos
A Group-IB liga o HOLLOWGRAPH, com elevada confiança, a um framework modular de backdoors conhecido como Cavern, com base em semelhanças no formato dos comandos e na estrutura das tarefas. Quanto à autoria, a investigação é mais cautelosa: identificou sobreposições técnicas com o Lyceum, um grupo associado ao nexo iraniano (subgrupo do conhecido OilRig), mas considera-as insuficientes para uma atribuição segura — apontando essa ligação apenas com baixa confiança. É uma distinção importante e que a Group-IB faz questão de sublinhar: por muito sofisticado que seja o malware, a identidade do grupo por trás desta campanha permanece, por agora, desconhecida.
A investigação identificou pelo menos 12 sistemas infetados, dos quais apenas cerca de três comunicavam ativamente com os atacantes durante o período de análise. As primeiras comunicações remontam a 3 de junho de 2026 e as últimas a 9 de julho. Vários indícios — a caixa de correio comprometida pertencer a uma organização israelita, e as amostras terem sido carregadas a partir de Israel — apontam para um interesse focado em entidades israelitas, característico de uma operação de espionagem dirigida e não de uma campanha oportunista de larga escala.
Porque é que isto importa (mesmo longe de Israel)
À primeira vista, uma campanha dirigida a alvos israelitas pode parecer distante da realidade portuguesa. Mas o verdadeiro alerta do HOLLOWGRAPH não está em quem foi atacado, e sim em como. A técnica de abusar de serviços cloud fidedignos — Microsoft 365, API Graph, DNS — para esconder o comando e controlo é replicável contra qualquer organização que dependa destas plataformas. E isso inclui a esmagadora maioria das empresas e entidades públicas portuguesas.
A defesa de perímetro tradicional — que procura ligações a servidores maliciosos conhecidos — é praticamente cega perante este tipo de ataque, porque todo o tráfego passa por domínios legítimos da Microsoft. Como já temos vindo a documentar, a identidade e a confiança nos serviços cloud tornaram-se a nova superfície de ataque: vimo-lo no reforço da autenticação no Microsoft Entra ID e nos vários esquemas que abusam de tokens e permissões OAuth. Defender-se exige olhar para dentro: vigiar o comportamento das aplicações que acedem ao Microsoft 365, e não apenas o que entra e sai da rede.
O padrão não é novo — as contas Microsoft 365 estão entre os alvos mais cobiçados, seja por força bruta, como no ataque de password spraying que gerou 81 milhões de tentativas de login, seja por técnicas furtivas como a do HOLLOWGRAPH. E não é a primeira vez que a Group-IB expõe malware sofisticado deste género: recentemente analisou também o ClickLock, que prende utilizadores de Mac até revelarem a palavra-passe.
O que as organizações devem fazer
- Vigiar a atividade da API Microsoft Graph e os registos de auditoria das caixas de correio Microsoft 365, procurando operações de calendário anómalas — criação de eventos, anexos ou alterações de assunto feitas por uma aplicação em vez de um utilizador.
- Caçar os artefactos deste malware: eventos de calendário datados de 2050-05-13, com assuntos que sejam apenas um identificador (GUID) ou que sigam os padrões “Event ID:” e “Boss…ID…”, com anexos do tipo File{n}.txt.
- Restringir e auditar as aplicações OAuth com credenciais de cliente, e gerar alertas para a criação de novos segredos ou credenciais de aplicação. Aplicar políticas de Acesso Condicional e rotação de credenciais no Entra ID.
- Monitorizar o tráfego de DNS para detetar tunneling: consultas AAAA (IPv6) invulgarmente frequentes, ou subdomínios longos e de elevada entropia. Encaminhar o DNS de saída por resolvedores controlados e aplicar filtragem.
- Procurar os indicadores de compromisso divulgados pela Group-IB, em particular o domínio
cloudlanecdn[.]come o ficheiro de configuraçãologAzure.txt.
Perguntas frequentes
O que é o HOLLOWGRAPH?
É um malware para Windows, analisado pela Group-IB, que abusa da API Microsoft Graph para transformar o calendário de uma conta Microsoft 365 comprometida num canal secreto de comando e controlo. Recebe ordens e exfiltra dados através de eventos de calendário, escondendo o tráfego malicioso dentro de comunicações legítimas do Microsoft 365.
Porque é que os eventos estão datados de 2050?
Para não serem notados. Ao marcar todos os eventos maliciosos para 13 de maio de 2050 — muito longe no futuro —, os atacantes reduzem a probabilidade de o verdadeiro dono da caixa de correio tropeçar neles ao consultar a sua agenda no presente.
Quem está por trás do HOLLOWGRAPH?
A Group-IB liga o malware, com elevada confiança, ao framework Cavern. Identificou também semelhanças técnicas com o Lyceum, um grupo de nexo iraniano, mas apenas com baixa confiança. A autoria concreta da campanha permanece, para já, desconhecida.
Esta ameaça afeta organizações em Portugal?
A campanha conhecida está focada em entidades israelitas, e não há indício de alvos portugueses. No entanto, a técnica é replicável contra qualquer organização que use o Microsoft 365, pelo que serve de alerta sobre a necessidade de vigiar o abuso de serviços cloud fidedignos.
Esta informação tem caráter noticioso e baseia-se na análise técnica publicada pela Group-IB a 20 de julho de 2026.