Aumento de abusos de la API de Microsoft Graph para comunicaciones sigilosas de malware

Los actores de amenazas han estado utilizando cada vez más la API de Microsoft Graph con propósitos maliciosos con el objetivo de evadir la detección.

Esto se hace para «facilitar las comunicaciones con la infraestructura de comando y control (C&C) alojada en los servicios en la nube de Microsoft», dijo el Equipo de Cazadores de Amenazas de Symantec, parte de Broadcom, en un informe compartido con The Hacker News.

Desde enero de 2022, se ha observado a varios grupos de hackers alineados con estados-nación utilizando la API de Microsoft Graph para C&C. Esto incluye a actores de amenazas identificados como APT28, REF2924, Red Stinger, Flea, APT29 y OilRig.

Ciberseguridad La primera instancia conocida de la API de Microsoft Graph antes de su adopción más amplia data de junio de 2021 en relación con un grupo de actividad denominado Harvester que fue encontrado utilizando un implante personalizado conocido como Graphon que utilizaba la API para comunicarse con la infraestructura de Microsoft.

Symantec dijo que recientemente detectó el uso de la misma técnica contra una organización no nombrada en Ucrania, que involucraba el despliegue de un malware previamente no documentado llamado BirdyClient (también conocido como OneDriveBirdyClient).

Un archivo DLL con el nombre «vxdiff.dll», que es el mismo que un DLL legítimo asociado con una aplicación llamada Apoint («apoint.exe»), está diseñado para conectarse a la API de Microsoft Graph y usar OneDrive como un servidor C&C para cargar y descargar archivos de él.

El método exacto de distribución del archivo DLL, y si implica la carga lateral de DLL, es desconocido en la actualidad. Tampoco hay claridad sobre quiénes son los actores de amenazas o cuáles son sus objetivos finales.

«Las comunicaciones del atacante con los servidores C&C a menudo pueden levantar banderas rojas en organizaciones objetivo», dijo Symantec. «La popularidad de la API de Graph entre los atacantes puede deberse a la creencia de que el tráfico hacia entidades conocidas, como los servicios en la nube ampliamente utilizados, es menos probable que levante sospechas.

«Además de parecer inofensivo, también es una fuente barata y segura de infraestructura para los atacantes, ya que las cuentas básicas de servicios como OneDrive son gratuitas».

Ciberseguridad El desarrollo se produce cuando Permiso reveló cómo los comandos de administración en la nube podrían ser explotados por adversarios con acceso privilegiado para ejecutar comandos en máquinas virtuales.

«La mayoría de las veces, los atacantes aprovechan las relaciones de confianza para ejecutar comandos en instancias de cómputo conectadas (VM) o entornos híbridos al comprometer a terceros proveedores externos o contratistas que tienen acceso privilegiado para administrar entornos basados en la nube internos», dijo la firma de seguridad en la nube.

«Al comprometer estas entidades externas, los atacantes pueden obtener acceso elevado que les permite ejecutar comandos dentro de las instancias de cómputo (VM) o entornos híbridos».