これまで報告例のなかったWindows向けマルウェアが、Microsoft 365のカレンダー招待を秘密の通信チャネルとして悪用し、攻撃者が被害者のネットワーク内でコマンドを実行したり、窃取したファイルを持ち出したりしながら、通常の企業トラフィックに紛れて活動していることが、脅威インテリジェンス企業Group-IBの新たな調査で明らかになりました。
このマルウェアは「HOLLOWGRAPH」と名付けられ、Group-IBの脅威インテリジェンスチームが詳細を報告しています。同チームによると、このツールはモジュール式のコマンド&コントロール(C2)ツールキットである「Cavernバックドアフレームワーク」に高い確度で帰属するとしています。このフレームワークは、これまでイラン系の攻撃活動と関連付けられてきました。研究者らによれば、このサンプルはイスラエルに関連する侵害済みのMicrosoft 365アカウントを通じてMicrosoft Graph APIを悪用し、悪意のある通信を正規のクラウドトラフィックに紛れ込ませているとのことです。
カレンダーを「デッドドロップ」として利用
HOLLOWGRAPHは、get(取得)とsend(送信)というわずか2つの命令しか理解しない軽量なインプラントです。しかし、その通信は攻撃者が所有するサーバーを介さず、すべて信頼されたMicrosoftのクラウドインフラを通じて行われます。Group-IBの分析によると、侵害されたメールボックスのカレンダーが双方向の「デッドドロップ」として使われており、攻撃者はカレンダーイベントを作成することで指示を送り込み、マルウェアは暗号化された添付ファイル付きの独自イベントを作成することで窃取したファイルを持ち出しています。
メールボックスの所有者に不審な点を気づかせないため、マルウェアが作成するすべてのイベントには2050年5月13日という遠い未来の日付が設定されています。窃取データやタスク情報はイベント本文ではなく、添付ファイルの中に隠されています。get要求はタスクIDを参照する件名を持つイベントを検索し、send操作は「File{n}.txt」という名前のチャンクに分割した暗号化データをアップロードした後、攻撃者側が識別できるタグにイベント名を変更します。
DNSトンネリングで認証情報を更新
カレンダーを利用したC2チャネルに加え、HOLLOWGRAPHはGraph APIへの認証を継続するために必要なMicrosoft Entra ID(旧Azure AD)の認証情報を更新するためだけの、別の通信経路も維持しています。Group-IBの調査によると、このマルウェアはDNSトンネリングを行い、攻撃者が管理するドメイン「cloudlanecdn[.]com」に対してIPv6のAAAAレコードの照会を実行し、更新されたテナントID、クライアントID、クライアントシークレット、メールボックスの詳細情報を取得します。取得した情報は、通常のログファイルを装った「logAzure.txt」という設定ファイルにディスク上へ書き込まれます。
報告書によると、長さを示すクエリとデータを運ぶクエリは命名規則によって区別されており、返される各IPv6アドレスには14バイトの有効なペイロードが密輸されるように仕込まれ、マルウェアはこれらを平文の認証情報データへと再構成します。研究者らは、このDNSチャネル自体は暗号化されていないと指摘しています。
一方、Graph APIチャネルを通じて送信される通信は、RSAとAES-256-GCMを組み合わせたハイブリッド暗号方式で保護されています。マルウェアは受信タスクと送信時のデータ窃取に別々のRSA鍵ペアを使用しており、双方向の通信を暗号的に独立させています。
Cavernフレームワークとの関連、そしてLyceumとの可能性
Group-IBによると、いくつかの技術的特徴からHOLLOWGRAPHはCavernフレームワークと結び付けられるとしています。一致するコマンド構文や、Cavernの既知の構造を反映したタスク内容が観測されており、その中にはフレームワークの他の場面でも使われている「デバッグログの切り替え」という自己コマンドも含まれています。
研究者らは、このキャンペーンを特定の既知の脅威アクターに帰属させるまでには至りませんでしたが、イランの脅威アクターOilRigのサブクラスターとされるLyceumに関連付けられてきたマルウェアとの重複を指摘しています。Group-IBによれば、Cavernのモジュール式バックドア機能は、2025年初頭にLyceumが使用していた.NET製バックドアと酷似しており、共通のコマンドコードや、プラグインモジュールをディスクからオンデマンドで読み込む類似の手法が見られるとのことです。同社はこの関連性の可能性について、確度は低いとしています。
限定的かつ計算された被害範囲
Group-IBは、HOLLOWGRAPHに感染したシステムを少なくとも12件確認しており、そのうち分析時点で攻撃者と実際にデータをやり取りしていたのは約3件のみだったとしています。被害者と攻撃者との間で確認された最初の通信は2026年6月3日に記録され、直近の通信は2026年7月9日に観測されており、このマルウェアは少なくとも6月初旬から活発に使用されていることを示しています。
研究者らは、被害数の少なさに加え、データ窃取に使われた侵害済みメールボックスがイスラエルの組織に属していること、そしてマルウェアのサンプルがイスラエルから解析用にアップロードされていたことから、無差別な大量侵害ではなく、意図的に対象を絞ったスパイ活動である可能性が高いと指摘しています。
この事案が重要な理由
正規のクラウドサービスをC2に利用する手法自体は、すでに確立された回避手段です。しかしHOLLOWGRAPHは、タスク情報と窃取データの両方を、数十年先の日付を設定したカレンダーイベントの添付ファイルに隠すという手法を取っており、脅威アクターが日常的に使われるコラボレーション機能をいかに創意工夫を凝らして悪用し、境界防御やメールセキュリティをすり抜けているかを浮き彫りにしています。この通信はすべてMicrosoft自身のインフラと、(侵害されているとはいえ)正規に認証されたアカウントを通じて行われるため、Graph APIのアクティビティやメールボックスの監査ログを詳細に調べない限り、防御側が通常のMicrosoft 365の利用と区別することは困難です。
推奨対策
Group-IBは、特にイスラエル国内で事業を行う、またはイスラエルと関係のある組織に対し、以下を強く推奨しています。
- ドメイン「cloudlanecdn[.]com」や設定ファイル「logAzure.txt」など、HOLLOWGRAPHおよびCavernフレームワークに関連する痕跡を捜索すること。
- Microsoft Graph APIのアクティビティおよびメールボックスの監査ログを監視し、ユーザーではなくアプリケーションによって実行される、イベント作成、添付ファイルのアップロード、件名の変更といった不審なカレンダー操作を検知すること。
- 2050年5月13日付のイベント、GUIDのみの件名、「Event ID:」や「Boss{..}ID{..}」といった命名パターンに「File{n}.txt」の添付ファイルが付随するなど、このマルウェアと一致するカレンダー上の痕跡に注意すること。
- クライアント認証情報を使用するOAuth2アプリケーションを制限・監視・監査し、新しいクライアントシークレットの作成を検知した際にアラートを発すること。
- Microsoft 365およびEntra ID環境全体で、条件付きアクセスポリシーの適用、定期的な認証情報のローテーション、異常なトークンの検知を徹底すること。
- 異常に頻繁なAAAAクエリや、長く高エントロピーなサブドメインなど、トンネリング活動を検知できるDNS監視を導入し、外向きのDNSを管理・フィルタリングされたリゾルバー経由に統一すること。
Group-IBは、Cavernフレームワークの進化を今後も追跡していくとしています。同社は、このキャンペーンの背後にいる具体的な集団は依然として特定されていないものの、HOLLOWGRAPHの高度な技術と対象を絞り込んだ攻撃手法は、能力が高く十分な資金力を持つ攻撃者の存在を示していると付け加えました。詳細情報はこちらでご覧いただけます: https://www.group-ib.com/blog/hollowgraph-microsoft-365/
