Malware esconde dados roubados em eventos do Outlook de 2050

Imagine a seguinte cena: você está revisando sua agenda e encontra um compromisso estranho marcado para o ano de 2050, com um nome esquisito e um arquivo anexado. Você provavelmente ignoraria, certo? Afinal, quem se preocupa com algo tão distante? Pois é exatamente nessa desatenção que o novo malware HollowGraph aposta. Ele usa a sua própria conta do Microsoft 365 como esconderijo, transformando eventos de calendário em um canal secreto para receber ordens de criminosos e enviar seus arquivos roubados. Parece coisa de filme, mas é real — e entender como isso funciona é o primeiro passo para se proteger.

O HollowGraph foi descoberto pela empresa de segurança Group-IB e age como um implante de espionagem digital. Em vez de se comunicar com servidores suspeitos na internet (o que poderia levantar alarmes), ele abusa da API legítima do Microsoft Graph, que é a mesma usada por aplicativos confiáveis para acessar e-mails, calendários e arquivos. Assim, todo o tráfego malicioso se disfarça como atividade normal da sua conta, passando despercebido por muitas ferramentas de segurança.

Mas como isso acontece na prática? O malware, que é um arquivo .NET DLL, tem apenas duas funções básicas: receber tarefas e enviar dados. Para buscar novas instruções, ele vasculha o calendário da vítima atrás de um evento específico, criado pelo criminoso, com data em 13 de maio de 2050. Dentro desse evento, um anexo contém os comandos codificados. Já para roubar informações, o HollowGraph faz o inverso: cria um novo evento no futuro distante e anexa os arquivos que quer exfiltrar, tudo criptografado com uma combinação de RSA e AES-256, usando chaves diferentes para entrada e saída de dados.

Por que o calendário do Microsoft 365 é o alvo perfeito?

Você pode estar se perguntando: por que justamente o calendário? A resposta está na psicologia humana e na arquitetura das ferramentas que usamos no dia a dia. Eventos de calendário são itens comuns, que raramente despertam suspeitas. Além disso, a maioria das pessoas nunca rola a agenda até 2050 — e mesmo que o fizesse, um compromisso com nome genérico e um anexo não pareceria uma ameaça imediata. É o esconderijo perfeito à vista de todos.

Do ponto de vista técnico, o Microsoft Graph é uma interface poderosa que permite a aplicativos acessarem dados do Microsoft 365 de forma programática. Quando um invasor consegue as credenciais de uma conta (ou de um aplicativo autorizado), ele pode usar essa mesma API para ler e escrever eventos no calendário sem precisar de nenhum software malicioso tradicional. Isso torna a detecção muito mais difícil, porque não há um vírus para ser encontrado pelo antivírus — há apenas um uso indevido de uma funcionalidade legítima.

Além disso, o HollowGraph mantém seu acesso à conta de forma engenhosa. Ele usa consultas DNS (aquelas que traduzem nomes de sites em endereços IP) para receber, de um domínio controlado pelo invasor, detalhes de login como ID do locatário, ID do cliente e segredo do cliente — informações necessárias para se autenticar no Microsoft Entra ID (antigo Azure AD). Esses dados vêm codificados em registros IPv6 AAAA e são salvos em um arquivo chamado logAzure.txt, disfarçado como um log comum do sistema. Esse canal DNS roda sem criptografia, ao contrário do calendário, mas ainda assim pode passar batido se ninguém estiver monitorando de perto.

Quem está por trás desse ataque e quem são as vítimas?

A Group-IB conseguiu ligar o código do HollowGraph a uma estrutura de backdoor chamada Cavern, que já havia sido documentada pela Check Point e atribuída a um grupo iraniano conhecido como Cavern Manticore — que tem sobreposições com outros grupos famosos, como MuddyWater e Lyceum. No entanto, a empresa não crava que os mesmos operadores estejam por trás desta campanha específica. O que se sabe é que o implante foi encontrado em pelo menos 12 máquinas, com tráfego ativo entre 3 de junho e 9 de julho de 2026. Uma das caixas de correio usadas para exfiltração pertencia a uma organização israelense, mas isso pode ser apenas a geografia da vítima, não necessariamente a origem do ataque.

O mais preocupante é que essa técnica não explora nenhuma vulnerabilidade de software — ou seja, não há um patch da Microsoft para corrigir. O ataque depende inteiramente de credenciais comprometidas e do uso normal da API. Isso significa que a responsabilidade pela defesa recai sobre a gestão de identidade e a configuração correta das permissões de aplicativos, algo que muitas empresas ainda negligenciam.

Como identificar se você foi infectado pelo HollowGraph

A boa notícia é que, por mais furtivo que seja, o HollowGraph deixa rastros. A Group-IB compartilhou algumas dicas valiosas de detecção que você mesmo pode aplicar, seja como usuário doméstico ou como profissional de TI. Fique de olho nestes sinais no seu calendário do Outlook ou Microsoft 365:

• Eventos com data muito no futuro, especialmente em 13 de maio de 2050.
• Assuntos de evento que sejam apenas um GUID (aquela sequência longa de números e letras entre chaves) ou que sigam padrões como “Event ID:” ou “Boss{...}ID{...}”.
• Anexos com nomes como File1.txt, File2.txt, e assim por diante.

Se você encontrar algo assim, não entre em pânico, mas investigue imediatamente. Pode ser um falso positivo, mas também pode ser o indício de que sua conta foi comprometida. No ambiente corporativo, a recomendação é auditar a atividade de aplicativos no Microsoft Graph: busque por eventos de calendário criados ou modificados por aplicações (e não por usuários humanos), especialmente se houver upload de anexos. Monitore também consultas DNS incomuns, principalmente para domínios como cloudlanecdn[.]com (o domínio usado nessa campanha) e a presença do arquivo logAzure.txt.

O que isso tem a ver com a clonagem de WhatsApp?

À primeira vista, um malware sofisticado que usa calendários do Microsoft 365 pode parecer distante do golpe de clonagem de WhatsApp que vemos no noticiário. Mas a conexão é mais profunda do que parece: ambos os ataques miram a identidade digital e a confiança que depositamos em nossas contas. No caso do HollowGraph, o invasor sequestra uma conta de e-mail corporativa para espionagem. Na clonagem de WhatsApp, o criminoso assume o controle do seu número de telefone para se passar por você e enganar seus contatos.

Em ambos os cenários, o ponto de partida costuma ser o mesmo: credenciais vazadas ou engenharia social. Pense bem: para clonar um WhatsApp, o golpista precisa convencer você a fornecer o código de verificação que chega por SMS. Isso geralmente acontece depois que ele já tem algumas informações suas — que podem ter sido obtidas em vazamentos de dados, exatamente o tipo de informação que um malware como o HollowGraph busca. Seu e-mail, número de telefone, nome completo e até mesmo detalhes sobre sua rotina podem ser usados para criar uma abordagem convincente.

Além disso, uma vez que o criminoso tem acesso ao seu e-mail principal (como uma conta Microsoft), ele pode redefinir senhas de outros serviços, incluindo o WhatsApp, ou usar o e-mail para enganar seus contatos. É um efeito dominó: um vazamento leva a outro, e sua identidade digital fica cada vez mais exposta.

Por isso, as dicas de proteção que vamos ver a seguir servem tanto para evitar ameaças avançadas quanto para se prevenir de golpes cotidianos como a clonagem de WhatsApp.

5 passos práticos para proteger sua identidade digital agora mesmo

Agora que você entende o risco, vamos ao que interessa: ações concretas que você pode implementar hoje para reduzir drasticamente as chances de ser vítima desses ataques. Separei em uma tabela para facilitar a consulta, mas continue lendo para os detalhes de cada passo.

Passo 1: Ative a verificação em duas etapas (2FA) em todas as contas

Essa é a medida mais poderosa e simples que você pode adotar. A autenticação de dois fatores adiciona uma camada extra de segurança: além da senha, você precisa de um código temporário (gerado por aplicativo ou enviado por SMS) para fazer login. No caso do WhatsApp, ative a verificação em duas etapas dentro do aplicativo (Configurações > Conta > Confirmação em duas etapas). Isso cria um PIN que será solicitado periodicamente, impedindo que alguém clone sua conta mesmo que tenha o código de SMS.

Passo 2: Revise os aplicativos com acesso à sua conta Microsoft

Vá até a página de Segurança da sua conta Microsoft e clique em “Aplicativos e serviços” ou “Permissões de aplicativos”. Você verá uma lista de todos os apps que podem acessar seus dados. Remova imediatamente qualquer um que você não reconheça ou não use mais. Isso fecha a porta para que um invasor use um aplicativo malicioso para ler seu calendário ou e-mails via Graph API.

Passo 3: Monitore seu calendário em busca de eventos suspeitos

Reserve um minuto por semana para dar uma olhada no seu calendário do Outlook ou Microsoft 365. Role até datas muito futuras (2050, por exemplo) e veja se há eventos que você não criou. Preste atenção em nomes estranhos, anexos inesperados ou padrões como GUIDs. Se encontrar algo, delete o evento e troque sua senha imediatamente.

Passo 4: Use um gerenciador de senhas e nunca repita senhas

Vazamentos de dados são uma das principais fontes de credenciais para invasores. Se você usa a mesma senha em vários sites, basta um deles ser comprometido para que todas as suas contas fiquem em risco. Um gerenciador de senhas gera e armazena senhas únicas e complexas para cada serviço. É um investimento pequeno de tempo que traz uma tranquilidade enorme.

Passo 5: Desconfie de mensagens pedindo códigos ou dados pessoais

Golpes de clonagem de WhatsApp geralmente começam com uma mensagem de alguém se passando por uma empresa ou até por um amigo, pedindo que você compartilhe um código que chegou por SMS. Nunca compartilhe códigos de verificação, mesmo que a mensagem pareça urgente. Se um amigo pedir, ligue para ele por outro meio para confirmar. Desconfie também de e-mails ou mensagens que pedem para você clicar em links e fazer login — podem ser páginas falsas para roubar sua senha.

Como a Kzarka pode ajudar você a ficar um passo à frente

De nada adianta saber de todos esses riscos se você não tem visibilidade sobre o que já pode ter vazado. Muitas vezes, seus dados (e-mail, senhas, documentos) já estão circulando na dark web sem que você faça a menor ideia. É aí que entra o monitoramento proativo: saber o que os criminosos já sabem sobre você é a melhor forma de agir antes que um ataque aconteça.

A Kzarka é uma plataforma especializada em monitoramento de vazamentos de dados e proteção contra roubo de identidade digital. Com ela, você pode verificar se suas informações pessoais foram expostas em algum vazamento e receber alertas sempre que algo novo surgir. É como ter um vigia particular olhando por você 24 horas por dia, para que você possa dormir tranquilo sabendo que sua identidade está protegida.

Não espere encontrar um evento misterioso no seu calendário de 2050 para agir. Acesse a Kzarka agora mesmo e faça uma verificação gratuita. Em poucos segundos, você descobre se seus dados estão em risco e pode começar a tomar as rédeas da sua segurança digital. Afinal, informação é poder — e, nesse caso, também é proteção.