Microsoft 365のカレンダー機能を悪用してコマンド&コントロール(C&C)通信を行う新種のマルウェアが発見されたと、Group-IBが報告しています。
「HollowGraph」と名付けられたこのマルウェアは、より大規模なツールキットの一部であるとみられており、Check Pointが今月初めに詳細を報告したイランに関連する脅威アクター「Cavern Manticore」との関連が疑われています。
このマルウェアの通信方式はMicrosoft Graph APIに依存しており、イスラエル国内で侵害された365アカウントを利用することで、正規のトラフィックの中にC&C通信を隠しています。
Group-IBは次のように説明しています。「Microsoft Graph APIを利用し、侵害されたメールボックスのカレンダーを双方向のデッドドロップとして扱います。攻撃者側はカレンダーイベントとして指令を仕込み、インプラント側は暗号化データを添付した独自のイベントを作成することで、窃取したファイルを外部に送出します」
ペイロードはファイルとしてイベントに添付され、メールボックスの所有者に気付かれないよう、イベントの日付は大幅に先の日付(2050年5月13日)に設定されています。マルウェアはペイロードの保護にRSAとAESを組み合わせたハイブリッド暗号方式を使用しています。
さらにHollowGraphは、設定情報や認証に使用するMicrosoft Entra ID(Azure AD)の認証情報を更新するため、DNSトンネリングによる副次的な通信チャネルも保持しています。
Group-IBは、HollowGraphの被害者を12件確認しており、そのうち3件は攻撃者のインフラと現に通信を行っていました。観測された最も早い通信は6月3日で、このことから同マルウェアは少なくとも先月から攻撃に使用されていたことが示唆されています。
同社は次のように指摘しています。「回収された痕跡、すなわち窃取に使われたイスラエルのメールボックスと、イスラエルからアップロードされたマルウェアのサンプルからは、無差別的な侵害活動というよりも、イスラエルの組織を狙った的を絞った関心がうかがえます」
HollowGraphは、ペイロードの配信のために攻撃者が管理するサーバーへ直接アクセスすることは一切ありません。その代わりに、対応する2種類のコマンドを利用します。1つは添付ファイル付きのカレンダー予定を生成する「send」、もう1つは攻撃者が仕込んだ予定を検索し、新たな指示をダウンロードする「get」です。
Microsoft Entra IDのテナントID、クライアントIDとシークレット、標的のメールボックスアドレス、C&Cドメイン、2つのRSAキーを含むマルウェアのハードコードされた設定情報は、実行時に「logAzure.txt」としてディスクに書き込まれます。
コマンドの形式や構造から、Group-IBはHollowGraphをCavernフレームワークの亜種の一部であるとみていますが、イランのMOISに関連するOilRigの下部組織であるLyceum(HexaneやSiameseKittenとしても知られる)への帰属については、確信度は低いとしています。
Group-IBは次のように述べています。「現時点で入手可能な証拠に基づくと、この活動を既知の脅威アクターに確信を持って帰属させることはできません。ただし、我々の分析では、イランに関連する脅威アクターLyceumとの間にいくつかの技術的な類似点が確認されています。これらの重複点は注目に値するものの、高い確信度での帰属を裏付けるほど独自性の高いものではありません」
