Malware HollowGraph Pakai Microsoft Graph untuk Komunikasi C2 Terselubung
Komponen malware baru bernama HollowGraph diketahui menyalahgunakan fitur kalender pada mailbox Microsoft 365 yang telah dikompromikan sebagai kanal command-and-control (C2). Melalui mekanisme ini, penyerang dapat mengirim instruksi sekaligus mengekfiltrasi data curian secara lebih sulit terdeteksi.
HollowGraph disebut sebagai bagian dari framework C2 Cavern, sebuah kerangka yang sebelumnya dikaitkan dengan aktivitas ancaman bernuansa Iran terhadap entitas di Israel. Meski begitu, atribusi langsung terhadap kelompok tertentu masih belum dapat dipastikan dengan tingkat keyakinan tinggi.
Dalam kampanye yang diamati, sedikitnya 12 sistem terinfeksi HollowGraph. Tiga di antaranya terlihat aktif berkomunikasi dengan operator ancaman antara 3 Juni hingga 9 Juli. Indikator yang terkumpul menunjukkan fokus serangan mengarah pada organisasi di Israel, sehingga motif spionase menjadi kemungkinan utama.
Secara teknis, HollowGraph menggunakan detail autentikasi yang tertanam untuk mengakses Microsoft Graph API melalui akun Microsoft 365 yang telah dibobol. File konfigurasinya disamarkan sebagai logAzure.txt agar terlihat seperti file log biasa.
Konfigurasi tersebut berisi Microsoft Entra ID tenant ID, application client ID, client secret, alamat mailbox target, domain C2, serta dua kunci RSA. Kunci kriptografi ini digunakan untuk mengenkripsi file sebelum dikirim ke operator dan mendekripsi tugas yang diterima malware.
Untuk menghindari perhatian, operator membuat event kalender bertanggal 13 Mei 2050 dengan format judul tertentu. Perintah dari penyerang dan data hasil pencurian disembunyikan dalam file attachment pada entri kalender tersebut.
HollowGraph diketahui hanya mendukung dua perintah utama. Perintah GET digunakan untuk mencari entri kalender berformat khusus, mengunduh, dan mendekripsi instruksi. Sementara itu, perintah SEND dipakai untuk membuat entri kalender baru dan melampirkan data curian yang telah dienkripsi.
Para peneliti menggambarkan penyalahgunaan kalender mailbox ini sebagai covert dead-drop. HollowGraph mengambil perintah dari event yang dijadwalkan pada jendela waktu tetap antara pukul 22:00 hingga 23:00 UTC pada 13 Mei 2050.
Komunikasi melalui Microsoft Graph diamankan dengan skema hybrid encryption yang memadukan RSA dan AES-256-GCM. Pendekatan tersebut membuat kanal masuk dan keluar tetap terpisah secara kriptografis, sekaligus memanfaatkan infrastruktur cloud tepercaya agar aktivitas C2 terlihat lebih wajar.
Selain Microsoft Graph, HollowGraph juga memiliki kanal komunikasi kedua tanpa enkripsi melalui DNS tunneling. Kanal ini digunakan untuk menerima detail Microsoft Entra ID baru, termasuk tenantId, clientId, clientSecret, dan mailbox yang dipakai untuk autentikasi ke Microsoft Graph.
Malware mengambil nilai tersebut melalui query IPv6 AAAA ke domain yang dikendalikan penyerang. Setiap alamat IPv6 yang dikembalikan membawa potongan payload yang kemudian dirangkai, didekode sebagai teks UTF-8, dan disimpan ke field konfigurasi yang sesuai.
Teknik ini menunjukkan tingkat kematangan operasional yang tinggi. Penggunaan infrastruktur cloud tepercaya, enkripsi hybrid, DNS tunneling untuk pembaruan kredensial, dan pemilihan korban secara selektif membuat HollowGraph sulit dideteksi dengan pendekatan pemantauan jaringan konvensional.
Organisasi disarankan memantau log Microsoft Graph dan audit Microsoft 365 untuk aktivitas kalender berbasis aplikasi yang tidak biasa, terutama event yang dijadwalkan jauh di masa depan, subjek yang mencurigakan, serta attachment tidak lazim.
Indikator seperti domain cloudlanecdn[.]com dan file logAzure.txt juga perlu diperhatikan. Selain itu, penerapan Conditional Access, pembatasan serta audit aplikasi OAuth berbasis client credentials, dan pemantauan DNS untuk pola tunneling dapat membantu mengurangi risiko serangan serupa.
Sumber: Group-IB
