Microsoft 365 Calendar を悪用：HOLLOWGRAPH という高ステルス性のマルウェア

Hackers Are Turning Microsoft 365 Calendar Invites Into Secret Malware Command Channels

2026/07/20 CyberSecurityNews — Microsoft 365 カレンダーをハイジャックした、HOLLOWGRAPH と呼ばれるステルス性の高い新たなマルウェア株が、通常のカレンダー招待に偽装した悪意のコマンドを介して、ハッカーと秘密裏に通信している。HOLLOWGRAPH は .NET でコンパイルされたマルウェア・コンポーネントであり、侵害済みの Microsoft 365 アカウントを通じて Microsoft Graph API を悪用するものだ。それにより、メール・ボックスのカレンダーを、ハッカー向けの秘密の双方向 “デッドドロップ” へと変容させる。

このマルウェアがサポートするコマンドは、get と send の 2 つだけである。また、不審な攻撃者サーバへ接続するのではなく、信頼された Microsoft クラウド・インフラを通じてすべてをルーティングするため、トラフィックは通常の業務アクティビティに紛れ込む。

Group-IB のレポートによると、この悪意のオペレーターは命令をカレンダー・イベントとして配置する。その一方で、マルウェアは独自の暗号化イベントを作成し、添付ファイル内にデータを隠すことで、盗んだファイルを外部へと持ち出す。

メールボックス所有者に気付かれないようにするために、すべての悪意のイベントは、はるか未来の 2050年5月13日にスケジュールされる。そのため、実際の予定表には表示されない。

DNS による巧妙な認証情報更新

カレンダーの仕掛けに加えて、HOLLOWGRAPH は 2 つ目の秘密チャネルを使用する。それは、”cloudlanecdn[.]com” というドメインへの IPv6 AAAA レコード・クエリを通じた DNS トンネリングである。それにより、このマルウェアは Microsoft Entra ID (Azure AD) のログイン認証情報を密かに更新し、更新された値を、無害なログ・ファイルに見える logAzure.txt に保存する。

Graph API チャネルを通じて移動する全データは、ハイブリッド RSA および AES-256-GCM 暗号化により保護される。受信コマンドと送信される盗難データでは、別々の鍵ペアが使用されるため、2 つの方向は暗号学的に分離された状態に置かれる。

HOLLOWGRAPH は、Cavern バックドア・フレームワークに高い信頼度で帰属すると、Group-IB は指摘している。Cavern とは、Check Point Research が以前に文書化したモジュール型のコマンド＆コントロール・ツールキットであり、 “Cavern Manticore” として追跡されるイラン由来のアクターに関連付けられている。

この関連付けは、両方のマルウェア・ファミリーで観測された、コマンド構文の一致とコマンドコードの共有に基づくものだ。さらに調査担当者が確認したのは、イランの Ministry of Intelligence and Security に結び付けられ、OilRig のサブグループと見なされる脅威グループ Lyceum との技術的な重複である。ただし、この関連は低い信頼度に留まっている。

このキャンペーンは大規模なものではない。Group-IB が特定した感染システムは僅か 12 台であり、観測期間中に攻撃者とアクティブに通信していたのは、そのうち約 3 台だけだった。

アクティビティは、遅くとも 2026年6月3日から追跡されており、直近の通信は 2026年7月9日に観測された。その結果として示されたのは、侵害されたメールボックス／アップロードされたマルウェアサンプル／関連する Cavern ファイルなどの指標が、イスラエルの組織に対して絞り込まれている点である。これは日和見的なハッキングではなく、意図的なスパイ活動であることを示唆している。

2050-05-13 の日付を持つカレンダーイベント／GUID だけの件名／Event ID: および Boss{..}ID{..} の命名パターンに従う件名／File{n}.txt という名前の添付ファイルを探すことで、このマルウェアのハンティングが可能である。

さらにセキュリティ・チームは、アプリケーション駆動のカレンダー変更において、Microsoft Graph アクティビティの監査／異常な AAAA DNS クエリの監視／cloudlanecdn[.]com ドメインと logAzure.txt ファイルを監視すべきである。

Group-IB がユーザー組織に対して推奨するのは、クラウド可視性の強化／信頼されたクラウド・サービス悪用の監視／OAuth アプリケーション権限と Entra ID 認証情報の制御の厳格化などにより、類似の攻撃を早期に検知することだ。

Microsoft 365 において、正規の Graph API 機能や予定表の仕組みを不正に悪用し、社内の重要データを秘密裏に持ち出そうとする侵害行為が判明しました。この攻撃では遠い未来の日付で予定を登録するなどの手口が使われ、気づかないうちに情報が漏洩してしまうリスクがあります。こうした被害を防ぐためには、OAuth アプリの権限設定を見直し、認証情報の管理を厳格化することが大切です。ログ監査や連携ツールの確認を定期的に行い、予期しない動作がないかチェックする必要があります。