Los hackers están abusando cada vez más de la API de Microsoft Graph para comunicaciones de malware sigilosas

El primer caso conocido de abuso de la API de Microsoft Graph antes de su adopción más amplia se remonta a junio de 2021, en relación con un clúster de actividad denominado Harvester, que utilizaba un implante personalizado conocido como Graphon para comunicarse con la infraestructura de Microsoft.

Symantec dijo que recientemente detectó el uso de la misma técnica contra una organización no identificada en Ucrania, que involucraba la implementación de un malware previamente no documentado llamado BirdyClient (también conocido como OneDriveBirdyClient).

Un archivo DLL con el nombre «vxdiff.dll,» que es el mismo que el de un DLL legítimo asociado con una aplicación llamada Apoint («apoint.exe»), está diseñado para conectarse a la API de Microsoft Graph y usar OneDrive como un servidor de C&C para cargar y descargar archivos desde él.

El método exacto de distribución del archivo DLL, y si implica la carga lateral de DLL, se desconoce en la actualidad. Tampoco hay claridad sobre quiénes son los actores de la amenaza o cuáles son sus objetivos finales.

«Las comunicaciones de los atacantes con los servidores de C&C a menudo pueden levantar banderas rojas en las organizaciones objetivo,» dijo Symantec. «La popularidad de la API de Graph entre los atacantes puede deberse a la creencia de que el tráfico hacia entidades conocidas, como los servicios en la nube ampliamente utilizados, es menos probable que genere sospechas.

«Además de parecer discretos, también es una fuente de infraestructura barata y segura para los atacantes, ya que las cuentas básicas para servicios como OneDrive son gratuitas.»