Microsoft 365カレンダーを悪用する新型マルウェア「HOLLOWGRAPH」、正規クラウドを指令通信に

Group-IBは、HOLLOWGRAPHと呼ばれるマルウェアを報告した。

HOLLOWGRAPHは.NET（NativeAOT）でコンパイルされたコンポーネントで、侵害されたMicrosoft 365アカウントを通じてMicrosoft Graph APIを悪用し、カレンダーを双方向の通信チャネルに変える。コマンドはgetとsendの2つで、指令の取得とデータの持ち出しはMicrosoftのクラウドインフラ経由でやり取りされる。悪意ある予定は2050年5月13日に設定される。Microsoft Graph経由の指令・データはRSA-OAEPとAES-256-GCMで暗号化される。一方、資格情報を更新するために、cloudlanecdn[.]comへのIPv6 AAAAクエリでDNSトンネリングを行うが、このDNSチャネルは暗号化されない。更新した設定一式はlogAzure.txtに保存される。

Group-IBはHOLLOWGRAPHを、高い確度でCavernフレームワークと関連付ける。Cavernは、Check Point Researchが報告し、イラン関連集団Cavern Manticoreと結びつけているフレームワークだ。ただしGroup-IBは、HOLLOWGRAPHの実行主体を特定できないとし、Lyceumとの技術的な重なりを低い確度で指摘するにとどめる。感染システムは少なくとも12台、うち観測期間中に能動的に通信していたのは3台だった。最初の通信は2026年6月3日、最新の通信は2026年7月9日に観測され、標的はイスラエルの組織に集中していた。

From: Hackers Are Turning Microsoft 365 Calendar Invites Into Secret Malware Command Channels

【編集部解説】

まず、この攻撃の何が新しいのかを整理します。

これまでマルウェアは、感染した端末から「怪しいサーバー」へ通信し、指令を受け取るのが定石でした。だからこそ防御側は、見慣れない接続先や不審なIPアドレスを見張ることで攻撃を検知できたのです。

ところがHOLLOWGRAPHは、その前提を静かに崩します。指令のやり取りにも、盗んだデータの持ち出しにも、Microsoft自身の正規クラウド（Microsoft Graph API）しか使いません。攻撃者専用のサーバーが、表にほとんど出てこないのです（ただし、資格情報の更新には攻撃者が管理するドメインへのDNS問い合わせを使います）。

仕組みはこうです。乗っ取ったアカウントのカレンダーを「伝言板」に見立て、攻撃者は予定表に指示を書き込みます。マルウェアの側は、盗んだファイルを暗号化し、別の予定へ添付ファイルとして忍ばせて持ち出します。通信そのものが「ふつうのMicrosoft 365の利用」に見えるため、宛先ドメインやIPアドレスを見張る従来型の境界防御だけでは、正規の通信と見分けるのが難しくなります。

芸が細かいのは、これらの予定をすべて2050年5月13日という約24年先の日付に置いている点です。人間もカレンダーアプリも、遠い未来の予定はふだん目に入りません。気づかれにくい隙間を、人の注意が向きにくいところに置いて突いています。

ここに、私たちが「今、この記事を書く」理由があります。

企業活動の多くがクラウドへ移り、私たちはMicrosoftやGoogleといった基盤を「信頼できるもの」として、ほぼ無条件に扱うようになりました。HOLLOWGRAPHが突いたのは、ソフトウェアの脆弱性ではなく、正規サービスに置かれた「信頼」そのものです。報告された指令経路は、Microsoft Graphの脆弱性を突くのではなく、正規のAPI機能と、乗っ取ったアカウントの資格情報を悪用します（最初にどう侵入したのかは公開されていません）。守るべき対象が「社外との境目」から「正規サービスの内側にある信頼関係」へと移りつつある。編集部は、この事例をそうした地殻変動の一断面だと捉えています。

もっとも、正規サービスやDNSといった“誰もが使う仕組み”をひそかにC2（指令・制御）へ転用する発想そのものは、HOLLOWGRAPH以前から知られてきました。今回はそれを、Microsoft 365のカレンダーという身近な場所にまで持ち込んだ点に新しさがあります。信頼された道具ほど、監視の死角になりやすい。この逆説は、これからのセキュリティを貫くテーマになっていくと考えられます。

一方で、過度に恐れる必要はありません。今回確認された感染は少なくとも12台、実際に通信していたのは3台ほどで、標的はイスラエルの組織に絞られていました。不特定多数を狙うばらまき型ではなく、明確な意図を持ったスパイ活動です。調査元のGroup-IBは、この攻撃をイラン関連とされる「Cavern」フレームワークと高い確度で結びつけていますが、実行主体そのものの特定には至っていません。

とはいえ、手口自体は組織の規模を問わず応用が利きます。「怪しい通信を止める」発想に加えて、「正規サービスが、ふだんと違う使われ方をしていないか」を見る視点──クラウド上の操作ログやアプリの権限を点検する習慣──が、これからの守りの土台になるはずです。

【用語解説】

HOLLOWGRAPH（ホロウグラフ）
Group-IBが2026年に発見したマルウェア（.NET NativeAOTでコンパイルされたDLL）。Microsoft 365のカレンダーとMicrosoft Graph APIを悪用し、getとsendという2つのコマンドで、指令の受信と盗んだデータの持ち出しを行う。

Microsoft Graph API
Microsoft 365のメール・カレンダー・ファイルなどのデータに、プログラムからアクセスするための正規の窓口。本来は業務アプリの連携に使う仕組みだが、今回は通信を紛れ込ませる隠れ蓑として悪用された。

DNSトンネリング
本来はドメイン名をIPアドレスに変換するためのDNS問い合わせに、別のデータを忍ばせて運ぶ手法。正規の通信に見えるため、監視をすり抜けやすい。

IPv6 AAAAレコード
DNSにおいて、ドメイン名をIPv6アドレスに対応づける情報。HOLLOWGRAPHはこの応答の中に設定情報を埋め込んで受け取っていた。

ハイブリッド暗号（RSA＋AES-256-GCM）
処理が速い共通鍵暗号（AES）と、鍵の受け渡しに強い公開鍵暗号（RSA）を組み合わせた方式。今回は送信用と受信用で別々の鍵を使い、両方向を分離していた。

Cavern（カバーン）フレームワーク
機能を部品化した、攻撃者向けのC2（指令・制御）ツールキット。Check Point Researchが報告した。HOLLOWGRAPHはこの一部だと高い確度で結びつけられている。

Cavern Manticore（カバーン・マンティコア）
Cavernを用いる攻撃者集団として、Check Point Researchが追跡する呼称。イラン関連とされ、イスラエルのIT・政府部門を主な標的とする。ただし、HOLLOWGRAPHの実行主体がこの集団だと確定したわけではない。

Lyceum（ライシアム）
イラン関連とされる脅威グループ。OilRigの下位グループと見なされ、HOLLOWGRAPHとの技術的な重なりが低い確度で指摘された。

OilRig（オイルリグ）
イラン関連とされる著名な攻撃者集団。APT34とも呼ばれ、中東を中心にスパイ活動を行うとされる。

イラン情報省（MOIS）
イランの情報機関。LyceumやMuddyWaterなど、複数の脅威グループと結びつけられている。

【参考リンク】

Group-IB（公式サイト）（外部）シンガポールに本社を置くサイバーセキュリティ企業。脅威インテリジェンスやインシデント対応を手がけ、今回のHOLLOWGRAPHを報告した。

Group-IB「HOLLOWGRAPH」レポート（外部）本件の一次情報にあたる調査レポート。技術詳細・被害範囲・痕跡情報（IOC）を収録し、被害数などの数値の出典となる。

Check Point Research（外部）イスラエルのCheck Point社の研究部門。Cavernフレームワークと攻撃者集団Cavern Manticoreを報告した。

Microsoft 365（公式）（外部）今回悪用された、メールやカレンダーを含むMicrosoftのクラウド型オフィス基盤。報告された手口はGraphの脆弱性を突くものではない。

Microsoft Graph（公式ドキュメント）（外部） Microsoft 365のデータへ安全にアクセスするための、開発者向けAPIの仕組みを解説する公式ドキュメント。

Microsoft Learn「監査ログの検索」（外部）統合監査ログの検索がMicrosoft Purviewポータルから行えることや、必要な権限を解説する公式ドキュメント。

【参考記事】

HOLLOWGRAPH: Turning Microsoft 365 Calendars into Covert Command-and-Control Channels（Group-IB）（外部）本件の一次情報。少なくとも12台の感染・能動通信は3台、暗号やDNSトンネリングの仕組み、Cavernとの関連を詳述する。

Cavern Manticore: Exposing Iran-Linked Modular C2 Framework（Check Point Research）（外部） Cavernフレームワークとイラン関連集団Cavern Manticoreを報告。MOISやLyceumとの重なり、標的の傾向を分析する。

Iran-Linked Hackers Use New Cavern C2 Framework to Target Israeli Organizations（The Hacker News）（外部） CavernをMOIS系集団の道具と位置づけ、LyceumがOilRigの下位グループである点や標的の集中を整理する。

New Iran-Nexus Hacking Group Targets Israel Government and IT Sectors（Infosecurity Magazine）（外部） Cavernの構成や複数の.NETコンパイル形式による検知回避、モジュール分離による解析妨害など技術背景を解説する。

Search the audit log（監査ログの検索／Microsoft Learn）（外部）統合監査ログの検索がMicrosoft Purviewポータルから行える点を確認するために参照した公式ドキュメント。