HOLLOWGRAPHと名付けられた新たに確認されたWindows向けマルウェアが、Microsoft Graph APIを悪用し、侵害したMicrosoft 365カレンダーを秘密裏の双方向C2(コマンド&コントロール)チャネルへと変える手口が明らかになりました。
Group-IBはこのマルウェアを、高い確度でイラン関連のCavernバックドアフレームワークに帰属させています。同社によると、このマルウェアはイスラエル国内で侵害されたMicrosoft 365アカウントを介して通信し、その通信を正規の企業間コミュニケーションに紛れ込ませているとのことです。
HOLLOWGRAPHは.NET NativeAOTでコンパイルされたDLLで、対応するコマンドはgetとsendの2つのみです。攻撃者所有のサーバーには一切依存せず、信頼されたMicrosoftクラウドインフラを全面的に利用しています。
攻撃者はカレンダーイベントを作成することで指示を送り込みます。インプラントはgetコマンドでその指示を取得・復号し、sendコマンドで窃取したファイルを暗号化してイベントの添付ファイルとしてアップロードします。
メールボックス所有者の注意を引かないよう、すべてのイベントは遠い未来の日付、具体的には2050年5月13日に設定されており、窃取データはFile{n}.txtという名前の添付ファイル内に隠されています。
通信はRSA-OAEPとAES-256-GCMを組み合わせたハイブリッド暗号方式で保護されています。受信側のタスク指示用と送信側の情報窃取用にそれぞれ別個のRSA鍵ペアを使用しており、2つのチャネルは暗号学的に独立した状態を保っています。
認証情報の維持は別系統のチャネルが担っています。HOLLOWGRAPHは攻撃者が管理するドメインcloudlanecdn[.]comに対してIPv6 AAAAレコードのクエリを用いたDNSトンネリングを実行し、Microsoft Entra ID(Azure AD)の認証情報、すなわちテナントID、クライアントID、クライアントシークレット、対象メールボックスを更新しています。
受信したレスポンスは復号され、logAzure.txtというログファイルを装った設定ファイルとしてディスク上に書き込まれます。
Group-IBは、HOLLOWGRAPHをCavernに結びつけるいくつかの技術的な特徴を特定しました。CavernはそれぞれのタスクをこなすプラグインごとにモジュールIDが分かれた、モジュール型のスパイ活動用ツールキットであり、これまでイラン関連の活動に関連付けられてきました。
一致するコマンド構文と観測されたC2タスク指示、特にデバッグログの切り替えに使われるbase64エンコードされた「003」コマンドなどを踏まえ、研究者らはHOLLOWGRAPHがCavernフレームワークの別の亜種の一部であると評価しています。
注目すべき点として、Cavern自体は、イランの脅威アクターOilRigのサブグループであるLyceumに以前帰属付けられた.NETバックドアと構造的な類似性を持っています。
両者ともモジュール型プラグインアーキテクチャと類似したプラグイン読み込みの仕組みを採用していますが、Group-IBはこのLyceumとの潜在的な関連性については確度が低いと評価しています。
Group-IBは12台の感染システムを特定しましたが、観測期間中に攻撃者と実際に通信していたのはそのうち約3台のみでした。これは、日和見的な侵害ではなく、狭い範囲を対象とした標的型のスパイ活動であることを示唆しています。
被害者と攻撃者の間で確認された最も早い接触は2026年6月3日、直近では2026年7月9日となっており、このマルウェアが少なくとも6月上旬から活発に利用されてきたことがわかります。
侵害されたイスラエルのメールボックスや、イスラエルからアップロードされたマルウェアサンプルなどの痕跡は、イスラエルの組織を対象とした集中的なスパイ活動キャンペーンであることを示しています。
Group-IBは各組織に対し、cloudlanecdn[.]comドメインやlogAzure.txt設定ファイルなどの侵害指標(IOC)を調査するとともに、Microsoft Graph APIのアクティビティやメールボックスの監査ログを監視し、ユーザーではなくアプリケーションによって実行される異常なカレンダー操作がないか確認するよう呼びかけています。
また、防御側は2050-05-13という日付が付いたカレンダーの痕跡や、GUIDのみの件名、Event IDやBoss{..}ID{..}といった命名パターンにも注意を払い、OAuth2クライアント資格情報アプリケーションについて新規シークレットの作成がないか監査すべきだとしています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(defang、例: [.])にしています。再度有効な形式に戻す(re-fang)のは、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
より強固な予防的防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/hackers-use-microsoft-365-calendar-events/
