Microsoft Graph APIを悪用し、侵害されたMicrosoft 365カレンダーを秘匿された双方向のコマンド&コントロール(C2)チャネルへと変換する、新たに発見されたWindowsマルウェアが確認されました。
Group-IBの研究者らは、この高度に洗練されたマルウェア検体を「HollowGraph」と命名し、高い確度でCavernバックドアフレームワークに帰属すると分析しています。
Group-IBの分析によると、HollowGraphによる攻撃は非常に標的を絞ったもので、イスラエルの組織を狙っています。これは、確認された侵害メールボックスがイスラエルの組織に関連していたためです。
さらに、アップロードされたマルウェアファイルはイスラエルから送信されたものであり、より広範なCavernフレームワークに関連するファイルも同様にイスラエルからアップロードされていました。
Group-IBは、HollowGraphマルウェアに感染した12台のシステムを特定しており、被害者と攻撃者の間で最初に観測された通信は2026年6月3日に発生していました。直近の事例が確認されたのは7月9日です。
「特定された被害者数が比較的少ないことから、この作戦は無差別なものではなく、極めて標的を絞った性質のものであることがうかがえます」と、研究者らは7月20日の投稿で述べています。
Group-IBは今回、特定の既知の脅威アクターへの帰属について確信を持てなかったものの、研究者らはイランと関連のある脅威アクター「Lyceum」によるスパイ活動との間にいくつかの技術的な類似点を確認しています。
「このマルウェアの高度な洗練度と、イスラエルの組織に的を絞った統制の取れた攻撃対象選定を組み合わせると、能力が高く十分なリソースを持つ攻撃者の存在を示唆しています」と研究者らは述べています。
HollowGraphは信頼された Microsoft サービスを悪用し検知を回避
このマルウェアは「get」と「send」という2つのコマンドをサポートしており、通信には信頼された第三者インフラストラクチャを全面的に利用するため、ペイロードの配信にあたって攻撃者が所有するサーバーへ直接アクセスすることはありません。
sendコマンドは、暗号化された窃取ファイルを添付したカレンダーの予定を生成します。
一方、getコマンドは、オペレーターが仕込んだ予定を検索し、添付された指示をダウンロードします。
HollowGraphはまた、DNSトンネリングを利用して、Graphチャネルへの認証に必要なMicrosoft Entra ID(Azure AD)の認証情報を配信・更新します。このチャネル自体は暗号化されていません。
暗号化についてはRSAとAES-256-GCMを組み合わせたハイブリッド方式を使用しており、Group-IBの調査によると、Graph通信を保護するために、通信方向(受信/送信)ごとに異なるRSA鍵ペアが用いられています。
Cavernフレームワークとの関連については、いくつかの技術的特徴からHollowGraphがこのフレームワークおよびより広範なツールキットの一部である可能性が強く示唆されるとGroup-IBは述べています。
これらの特徴の一つがコマンド形式です。コンポーネントは<command>_;;_<arg0>_,_<arg1>_,_<arg2>という文字列形式で呼び出されており、これはCavernのコマンド構文と一致しています。
攻撃者はMzU=を含むコマンドを発行しており、これはデコードすると003となります。これはCavernマルウェアにおいて、エージェント自己コマンドに分類される「デバッグロギングの切り替え」命令です。
最後に、C2サーバーからのコマンド構造も一致しています。観測されたタスク割り当てはCavernの形式を反映しており、例として{“cid”: “oXhLaJ0ZvtPb9XB”, “type”: “self”, “cmd”: “003_;;__,_”}が挙げられます。
これらの技術的詳細を踏まえ、Group-IBはHollowGraphをCavernフレームワークの別の亜種の一部であると評価しています。
同サイバーセキュリティ企業は、各組織に対し、HollowGraphに関連する痕跡指標(IoC)を継続的に探索するとともに、Microsoft Graph APIの活動およびMicrosoft 365メールボックスの監査ログを監視し、カレンダー操作における異常を検知するよう推奨しています。こうした異常な操作には、ユーザーではなくアプリケーションによって実行される、予定の作成、添付ファイルのアップロード、件名の変更などが含まれます。
翻訳元: https://www.infosecurity-magazine.com/news/hollowgraph-microsoft-calendars/
