HollowGraphと名付けられた悪質なコンポーネントが、侵害されたMicrosoft 365メールボックスのカレンダー機能をコマンド&コントロール(C2)チャンネルとして悪用し、攻撃者からの指令の受信と盗んだデータの窃取を行っていることが判明しました。
このモジュールを分析した研究者らは、これがイスラエル国内の組織を標的とするイラン関連の脅威アクターと過去に関連付けられていたCavernコマンド&コントロールフレームワークの一部であるとみています。
これまでに少なくとも12台のシステムがHollowGraphに感染しており、そのうち3台は6月3日から7月9日の間、脅威アクターと積極的に通信していました。
収集された痕跡から、この脅威アクターはイスラエル国内の組織を標的としているとみられ、スパイ活動を目的とした標的型攻撃であることを示唆しています。
Microsoft 365メールボックスの悪用
サイバーセキュリティ企業Group-IBの報告によると、HollowGraphはハードコードされた情報を用いて、侵害されたMicrosoft 365アカウント経由でMicrosoft Graph APIに認証を行っているとのことです。
設定ファイルはlogAzure.txtという名前で保存され、通常のログファイルに見せかけています。このファイルには「Microsoft Entra IDのテナントID、アプリケーション(クライアント)ID、クライアントシークレット、標的のメールボックスアドレス、コマンド&コントロール(C2)ドメイン、および2つのRSA鍵が含まれている」とされています。
この2つの暗号鍵は、ファイルを攻撃者に送付する前の暗号化と、受信する指令の復号にそれぞれ用いられます。
検知を逃れるため、脅威アクターは2050年5月13日付けの特定形式のタイトルを持つカレンダーイベントを作成します。指令と窃取したデータは、これらのカレンダーエントリに添付されたファイル内に隠されています。
Group-IBの分析によると、HollowGraphがサポートするコマンドはわずか2種類のみで、暗号化した盗難ファイルを含むカレンダーエントリの作成と、脅威アクターからの指示を含む新規エントリの検索を可能にしています。
- GET: 「Event ID: <7文字のタスクID>」形式のエントリを検索し、受信した指令をダウンロードして復号
- SEND: 「Boss{..}ID{..}」形式のカレンダーエントリを作成し、RSA公開鍵で暗号化した窃取データを添付
研究者らはメールボックスのカレンダーを「秘密の受け渡し場所(covert dead-drop)」と表現しています。HollowGraphは、2050年5月13日のUTC22:00から23:00までの固定された1時間の枠内でスケジュールされたイベントから指令を取得します。
Group-IBの説明によると、脅威アクターはRSAとAES-256-GCMのアルゴリズムを組み合わせたハイブリッド暗号方式を使用してMicrosoft Graph経由の通信を保護しており、受信チャンネルと送信チャンネルを暗号的に分離しているとのことです。
HollowGraphには、DNSトンネリングを利用した第2の非暗号化通信チャンネルも存在します。これはMicrosoft Graphへの認証に使用する新しいMicrosoft Entra IDの情報(Entra ID: テナントID、クライアントID、クライアントシークレット、メールボックス)を受信するために用いられます。
攻撃者が管理するドメインcloudlanecdn[.]comへのIPv6 AAAAレコードクエリを通じてこれらの値を取得し、logAzure.txtとして保存されている設定ファイルを更新します。
Group-IBは「返却される各IPv6アドレス(16バイト)から、利用可能なペイロード14バイトが得られる」と説明しています。このマルウェアはこれら14バイト単位のデータからペイロードを組み立て、UTF-8テキストとしてデコードし、対応する設定項目に応じて結果を保存します。
「HOLLOWGRAPHは高度な技術的洗練度を示している。信頼されたクラウドインフラをコマンド&コントロールに利用する点、ハイブリッド暗号方式、認証情報更新のためのDNSトンネリング、そして極めて選別的な標的選定は、この脅威アクターが高い技術力と成熟した作戦運用能力を有していることを総合的に示唆している」 – Group-IB
研究者らはHollowGraphを既知の脅威アクターに帰属させることはできないとしながらも、「分析の結果、イラン関連の脅威アクターLyceumとの技術的な類似点がいくつか確認された」としています。
ただし、入手可能な証拠はこの活動をLyceumに高い確度で帰属させるには不十分だとしています。一方で、研究者らはHollowGraphがCavernフレームワークと関連しているとの見解については高い確度で評価しています。
Group-IBは、組織に対しMicrosoft GraphおよびMicrosoft 365の監査ログを監視し、特にはるか未来の日付のイベントや、不審な件名・添付ファイルなど、アプリケーション主導の疑わしいカレンダー活動に注意するよう推奨しています。
また、「cloudlanecdn[.]com」ドメインや「logAzure.txt」ファイルといった痕跡の確認、条件付きアクセスの強制適用、OAuthクライアント資格情報アプリケーションの制限と監査、そしてトンネリングパターンを検知するための送信DNS監視も推奨されています。
攻撃者に先んじて、あらゆるレイヤーをテストする
セキュリティチームが記録できている攻撃成功件数は全体の54%にとどまり、アラートを発報できているのはわずか14%です。残りは検知されないまま環境内を通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション(Breach and Attack Simulation)がSIEMおよびEDRのルールをどのようにテストし、脅威の検知漏れを防ぐかを解説しています。
