HOLLOWGRAPHは、Microsoft 365のカレンダーイベントを隠密な指令(C2)チャネルに変えてしまうWindowsマルウェアインプラントです。
このマルウェアはCavernモジュール型バックドアフレームワークとの関連性が極めて高いとみられており、Microsoft Graph APIを利用して攻撃者からタスクを取得するとともに、侵害したMicrosoft 365メールボックスを経由して窃取データを外部に持ち出します。
ComputerScience
この手法により、悪意ある通信は正規のMicrosoftクラウドトラフィックに紛れ込む形となり、従来型のネットワークセキュリティ対策による検知が一段と困難になります。
HOLLOWGRAPHマルウェア
HOLLOWGRAPHは.NET NativeAOTでコンパイルされたDLLで、「get」と「send」という2つの主要コマンドを中心に構成されています。攻撃者が管理するWebインフラと直接通信する代わりに、このインプラントは侵害済みメールボックスのカレンダーを双方向の「デッドドロップ」として利用します。
攻撃者側はカレンダーイベントの添付ファイルとして暗号化コマンドを挿入します。同時に、感染したエンドポイントは被害者から収集した暗号化ファイルを含む別のイベントを作成します。
これらのイベントはすべて2050年5月13日に設定されており、これはメールボックス所有者の目に触れるカレンダー表示から活動を隠す狙いがあるとみられます。
コマンドを取得する際、「get」機能はMicrosoft GraphのcalendarViewエンドポイントに対し、2050年の日付内で厳密に定義された時間枠のイベントを問い合わせます。
「Event ID: <taskID>」という形式の識別子を含むイベント件名を検索し、「File{n}.txt」という名前の添付ファイルをダウンロードして中身を復号したうえで、マルウェアローダーにタスク内容を送り返します。
ローダーは「<command>_;;_<arg0>_,_<arg1>_,_<arg2>」という構造化パラメータ形式を用いてインプラントを呼び出しますが、これはCavernフレームワークのコマンド構文と一致します。
「send」コマンドはこの逆の処理を行います。HOLLOWGRAPHはローダーから渡されたファイルを暗号化し、Microsoft Graph経由で先の日付のカレンダーイベントを作成、暗号化ファイルを1つ以上の添付ファイルとしてアップロードしたうえで、攻撃者側が識別できるBoss{…}ID{…}という命名規則でイベント名を変更します。
このマルウェアは通信の両方向でハイブリッド暗号方式を採用しています。RSA-OAEPで新規生成したAES鍵をラップし、AES-256-GCMで実際のペイロードを暗号化する仕組みです。着信タスクと発信するデータ窃取用にそれぞれ別のRSA鍵ペアを用いており、一方向の通信が侵害されても、もう一方が自動的に露呈しないようになっています。
2つ目の隠密チャネルは認証情報の更新に使われます。HOLLOWGRAPHはcloudlanecdn[.]comに対するIPv6 AAAAレコード参照によるDNSトンネリングを利用し、テナントID、クライアントID、クライアントシークレット、対象メールボックスを含む更新済みのMicrosoft Entra ID認証情報を取得します。
データは特別に細工されたサブドメインにエンコードされ、DNS応答が認証情報の断片を提供します。インプラントはこのデータを再構成し、無害なログファイルを装ったローカル設定ファイル「logAzure.txt」に更新済み設定を書き込みます。
Group-IBはHOLLOWGRAPHに感染した端末を少なくとも12台特定していますが、観測期間中に攻撃者インフラと実際に通信していたのはそのうち約3台のみでした。
確認された最も早い活動は2026年6月3日、直近では7月9日に確認されています。侵害されたメールボックスがイスラエルに関連していたことや、マルウェアのアップロード元がイスラエルであったことから、このキャンペーンはイスラエルの組織を標的とした集中的なスパイ活動である可能性が示唆されています。
研究者らは、コマンド構造の一致や、同フレームワーク独自のセルフコマンドコードに関連して回収されたタスク内容を根拠に、HOLLOWGRAPHはCavernフレームワークの一部であると結論付けています。
Group-IBはまた、CavernとLyceum(OilRigに関連するイラン系のサブグループ)関連ツールとの類似点も指摘しています。ただし、Lyceumとの関連性については確信度が低いと評価しており、このキャンペーンを既知の脅威アクターに帰属させるには至っていません。
各組織には、カレンダー作成、添付ファイルのアップロード、遠い将来の日付が設定されたイベントなど、Graph APIに関わる不審な操作がないかMicrosoft 365の監査ログを確認することが推奨されます。
セキュリティチームは、特に見慣れないドメインを標的とした高エントロピーのサブドメインへの反復的なAAAA DNSクエリなど、異常なDNSクエリを調査するとともに、露出したEntra IDアプリケーション認証情報を直ちに失効させるかローテーションする必要があります。
IOC(侵害指標):
ネットワーク:
- Cloudlanecdn[.]com
ハッシュ値:
- 75e51774b8f79e5f256eaae639635f911b3e744d4774fd6068dd980255621509
- F3f3006f8304788251b153d53b305322b8acab0c66ec816b8d9f101bcc851da3
- B3d0f6e4e3be395fd7cf9e8101c89963d77216578cbb117a6ac9bc3564485eff
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記([.]など)としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
脅威検知と迅速な調査を加速し、SOCを強化しましょう。 -> ANY.RUNをSOCに統合する 今すぐ。
NetworkSecurity
翻訳元: https://gbhackers.com/hollowgraph-malware-turns-microsoft-365-calendar-events/
