Group-IBの研究者らが発見したところによると、Microsoft 365のカレンダーがスパイ活動用マルウェアの隠し場所として悪用されており、コマンドや窃取したファイルが2050年という未来の日付が設定された予定に紛れ込ませられていました。
イランのスパイ活動と関連する標的型キャンペーン
Group-IBが「HOLLOWGRAPH」と名付けたこのマルウェアは、同社が高い確度でCavernバックドアフレームワークに関連付けているより大規模なツールキットの構成要素の一つです。Cavernは、それぞれ異なる役割を担う個別のプラグインから構成されるモジュール型のスパイ活動用ツールキットで、これまでもイラン関連の活動との関連が指摘されてきました。
Group-IBは感染システム12台(うち3台が現在も通信中)を特定しており、すべての証拠がイスラエルの組織を狙った限定的な標的型スパイ活動を示しています。
被害者と攻撃者との間で記録されている最初の接触は2026年6月3日、直近のものは2026年7月9日で、この期間からマルウェアが少なくとも6月上旬から活発に使用されていることがうかがえます。
「現時点で得られている証拠に基づく限り、この活動を既知の特定の脅威アクターに帰属させることは確信を持ってはできません。ただし分析の結果、イラン関連の脅威アクターであるLyceumとの技術的な類似点がいくつか確認されました」と研究者らは述べています。
「こうした共通点は注目に値するものの、高い確度での帰属を裏付けるほど独自性が高いとは言えません。現段階では、Lyceumとの関連性については低い確度での評価にとどめています」
HOLLOWGRAPHはGraph API、カレンダーイベント、DNSトンネリングを利用
HOLLOWGRAPHが受け付けるコマンドはgetとsendの2つのみです。侵害されたMicrosoft 365のメールボックスを介し、Microsoft Graph APIを通じてこれらのコマンドを受け取ります。
HOLLOWGRAPHのC2(指令サーバー)通信の仕組み(出典:Group-IB)
攻撃者は指示を送るためにカレンダーイベントを作成します。マルウェアはこうしたイベントを監視し、添付されたデータを取り出します。窃取したファイルを送り返す際には、マルウェア自身がカレンダーイベントを作成し、暗号化したファイルをそこに添付します。
「メールボックス所有者の目に留まらないよう、すべてのイベントには2050年5月13日という遠い未来の日付が設定されており、ペイロードはイベントへの添付ファイルという形で仕込まれています」と研究者らは付け加えています。
認証情報の更新は別の経路で処理されます。マルウェアはDNSトンネリングを利用し、攻撃者が管理するドメインへIPv6のルックアップクエリを送信することで、Graph APIに必要なMicrosoft Entra ID(Azure AD)の認証情報を更新します。更新された値は、ログファイルに偽装したディスク上のファイルに保存されます。
カレンダー経由の通信もすべて暗号化されており、受信する指示と送信するファイルにはそれぞれ別の鍵が使われています。そのため一方の暗号を解読できても、もう一方の内容は判明しない仕組みになっています。
セキュリティチーム向けの検知指針
セキュリティチームは、この活動に関連するいくつかの兆候に注意を払うべきです。具体的には、2050年5月13日の日付が設定されたカレンダーイベントや、Event ID: やBoss{..}ID{..}とFile{n}.txt形式の添付ファイルといったパターンに一致する件名などです。アプリケーションによって変更されたカレンダーの操作履歴を示すメールボックスの監査ログも確認する価値があります。
Group-IBはさらに、クライアント認証情報を使用するOAuth2アプリケーションの制限と監査を実施すること、新しいクライアントシークレットが作成された際にアラートを設定することを推奨しています。条件付きアクセス、認証情報のローテーション、不審なトークンの検知も、Microsoft 365とEntra IDについて同社が挙げるその他の基本的な対策です。
侵害指標(IOC)の詳細はブログで公開されています。
翻訳元: https://www.helpnetsecurity.com/2026/07/20/hollowgraph-malware-microsoft-365-calendar/
