- Group‑IBが、イスラエルの組織を標的にMicrosoft Graph API経由でファイルを窃取するマルウェア「HollowGraph」を発見
- 攻撃者は未来の予定表エントリに指示を隠し、盗んだデータを暗号化してイベントに添付
- 少なくとも12台のシステムが侵害を受け、Lyceumとの類似点も指摘されているが、帰属の確度は低い
サイバー犯罪者が、侵害されたMicrosoft Calendarアプリを通じて、被害者のデバイスにインストールされたマルウェアと通信する手口を編み出していることが、専門家の警告で明らかになりました。
Group-IBのセキュリティ研究者らは、侵害されたデバイスから機密ファイルを窃取するために設計された新たなマルウェア「HollowGraph」について詳細な報告をまとめました。
このマルウェアが際立っているのは、攻撃者との通信方法です。隠れたマルウェアを見つけ出す最良の方法は、デバイスの通信トラフィックを監視することであるため、サイバー犯罪者はこの通信を隠したり、正規の通信に紛れ込ませたりすることに全力を注ぎます。その点で、HollowGraphはMicrosoft Graph APIと侵害されたMicrosoft 365メールボックスの予定表を悪用するという点で特異です。
12件の被害
デバイスに侵入しMicrosoft 365アカウントを侵害した後、HollowGraphはそのアカウントの権限を利用してMicrosoft Graphにアクセスします。攻撃者は指示を含む予定表エントリを作成し、発見を避けるためにそれをはるか未来(2050年)に設定します。指示を実行し価値ある情報を収集した後、マルウェアは同じ経路を通じてそれを外部に送信します。
HollowGraphは、不審なサーバーにファイルをアップロードする代わりに、暗号化した盗みデータを予定表イベントに添付し、Microsoft Graphを通じて送信します。防御側から見ると、こうした通信はすべて正規のものに見えるため、通常は監視の網をすり抜けてしまいます。
Group-IBによると、これまでのところ被害者はすべてイスラエルの組織です。研究者らは少なくとも12件の侵害システムを確認しており、そのうち3件は調査時点でも攻撃者のインフラとの通信を継続していました。
研究者らはこの攻撃を既知の脅威アクターに帰属させてはいませんが、可能性については示唆しています。HollowGraphのフレームワーク「Cavern」と、Lyceum(イランを拠点としOilRigと関連する脅威アクター)が使用する.NETバックドアとの間で、コマンド構造やプラグインの仕組みに技術的な類似点を確認したとのことです。ただしGroup-IBは、こうした類似点はそれほど明確なものではないと明言しており、この関連性については確度が低いと評価しています。
