セキュリティ
マルウェアが2050年の予定として設定した予定表にコマンドを隠し、Redmond自身のクラウドを使って本拠地と通信する
Microsoft 365の予定表が、諜報活動用マルウェアの新たな隠れ場所となっています。攻撃者は24年先の日付が設定された予定の中に、コマンドや盗んだファイルを隠していました。
Group-IBの研究者らは、HOLLOWGRAPHと呼ぶマルウェアコンポーネントを発見したと報告しています。このマルウェアは、通常使われるコマンド&コントロール(C2)サーバーの代わりに、はるかに目立たない存在――侵害されたMicrosoft 365の予定表――を利用します。
攻撃者が制御するインフラに接続して指示を受け取る代わりに、このインプラントは予定表のイベントを漁って暗号化されたタスク情報を取得し、盗んだファイルを新しい予定として登録して、あとで運用者が回収できるようにします。
HOLLOWGRAPHが作成する予定はすべて2050年5月13日の日付が付けられており、これは通常であれば予定表上の何もない空白の日付で、暗号化された添付ファイルがあっても注目を集めにくい場所です。HOLLOWGRAPHはMicrosoft Graphを悪用しているというより、それに溶け込んでいると言うべきで、C2通信を正規のGraph API リクエストの中に包み込み、他のMicrosoft 365アプリケーションがクラウドと通信しているのと変わらないように見せかけています。
マルウェア自体は比較的軽量です。Group-IBによると、一方の予定表イベントから指示を取得し、もう一方の予定表イベントに盗んだファイルを保存し、Graphベースの通信を維持するためにDNSトンネリングチャネル経由で定期的に新しいEntra IDの認証情報を取得する――といった程度の機能しか持っていません。
このセキュリティ企業は、コマンド形式やその他の実装の詳細が一致したことから、このマルウェアをCavernフレームワークに高い確度で結びつけました。また、イランと関係があるとされる諜報活動グループLyceumとの類似点も確認していますが、この関連付けは確度が低いとしており、この作戦をそのグループの仕業だと断定するには至っていません。
Group-IBは次のように述べています。「HOLLOWGRAPHは、高度で極めて標的を絞った諜報活動の脅威を体現しています。信頼されているMicrosoft 365の予定表をMicrosoft Graph APIを通じて悪用し、DNSトンネリングによってクラウド認証情報を更新することで、このマルウェアは正規のMicrosoft 365通信やネットワークトラフィックの中にコマンド&コントロールを隠し、従来の境界防御をすり抜けています」
このキャンペーン自体は、狙いを絞った標的型のものと見られます。Group-IBは12台の感染システムを特定しましたが、観測期間中に侵害されたメールボックスと通信していたのはそのうち3台のみでした。C2に使われた侵害済みメールボックスはイスラエルの組織のものであり、マルウェアの検体もイスラエルからアップロードされていました。研究者らは、これらの証拠が無差別な攻撃ではなく、標的を絞った諜報活動を示していると述べています。
HOLLOWGRAPHはMicrosoft 365やMicrosoft Graphの脆弱性を突いているわけではありません。その代わりに、ほとんどの組織内ですでに信頼されているサービスを悪用しており、そのため攻撃者が制御するインフラに接続するタイプのマルウェアに比べて、活動がはるかに発覚しにくくなっています。®
