GraphWorm Malware utiliza Microsoft OneDrive como infraestructura de comando y control

Un conocido grupo de amenazas alineado con China ha ido evolucionando de forma silenciosa sus métodos de ataque, y su último toolset revela el nivel de sofisticación al que ha llegado para permanecer oculto. Ha surgido una backdoor llamada GraphWorm como parte del creciente arsenal de este grupo, y lo que lo hace destacar es la forma en que utiliza Microsoft OneDrive como canal de comando y control.

GraphWorm es una de las dos nuevas puertas traseras agregadas al toolset del grupo, junto con una backdoor basada en Discord llamada Choreerp. GraphWorm, también conocido internamente como OverOneDrive, está escrito en Go y utiliza Microsoft Graph API para comunicarse exclusivamente a través de OneDrive. GraphWorm Malware utiliza Microsoft OneDrive. GraphWorm se distingue por redirigir todas las comunicaciones a través de una instancia legítima de Microsoft OneDrive en lugar de un servidor dedicado.

Los resultados de los comandos ejecutados se escriben en un archivo llamado beaconshelloutput.txt y luego se cargan nuevamente en OneDrive mediante el endpoint de la API createUploadSession de Microsoft. La publicación GraphWorm Malware utiliza Microsoft OneDrive como infraestructura de comando y control apareció por primera vez en Cyber Security News.

Consultar publicación original ↗