2050年の予定に指令を隠す、Microsoft 365を悪用した新たな標的型スパイマルウェア「HollowGraph」

要点

• セキュリティ企業のGroup-IBが、乗っ取ったMicrosoft 365のカレンダーを指令サーバーの代わりに悪用する新マルウェア「HollowGraph」を発見した。

• マルウェアはカレンダー内の「2050年5月13日」という遠い未来の予定を、指示や盗み出したデータの受け渡し場所として利用する。

• 正規のMicrosoft Graph API通信を装うため、一般的なネットワーク防御システムによるブロックや検知をすり抜ける危険性がある。

• システムへの接続を維持する補助チャネルとして、DNSのAAAAレコードから認証情報を取得して更新する独自の仕組みが備わっている。

• 今回の攻撃はイスラエルの組織を狙った標的型スパイ活動とみられ、脆弱性の修正パッチではなく、アクセス権限の厳格化やログ監視での対応が求められる。

• セキュリティ企業のGroup-IBは2026年7月20日、侵害されたMicrosoft 365アカウントを悪用し、カレンダー機能を指令チャネルとして利用するスパイ用マルウェア「HollowGraph」の分析結果を公表した。このマルウェアは、一般的なユーザーが確認することのない「2050年」のカレンダー予定を指示やデータの受け渡し場所として利用する。正規のAPIトラフィックに紛れ込むため、従来のセキュリティ対策では検知が極めて困難であるという。

正規APIを隠れみのにする巧妙な手口

HollowGraphは、.NETで作成されたDLL（プログラムの部品として機能するファイル）形式のインプラント（侵入後に機能する不正プログラム）である。このマルウェアは、攻撃者が用意した指令サーバーと直接通信するのではなく、乗っ取ったメールボックスのカレンダーを「デッドドロップ」（スパイ活動において、当事者同士が直接会わずに指定の場所に物を置いて受け渡す秘密の手法）として扱う。

サポートしているコマンドは、データを取得する get と送信する send のわずか2種類のみだ。攻撃の指示を受け取る際、マルウェアはカレンダーから「2050年5月13日」の日付で登録された予定を検索し、その添付ファイルから指示を読み取る。一般のユーザーがこれほど遠い未来のカレンダーをスクロールして確認することはまずないため、不審に思われるのを避ける巧妙な目隠しとして機能している。

反対に、侵入したシステムから盗み出したデータを送信する際は、データを暗号化した上で、やはり遠い未来の日付に予定を新規作成し、複数の添付ファイルとしてカレンダーにアップロードする。この一連のやり取りには、Microsoft 365のデータにアクセスするための正規インターフェースである「Microsoft Graph API」が使用される。通信自体は正規のマイクロソフトのクラウドサービスへ向けたものであるため、組織のネットワーク防御システムやファイアウォールは不審な通信先として遮断することができない。

カレンダーを通じてやり取りされるすべてのデータは、RSAとAES-256と呼ばれる暗号化方式を組み合わせたハイブリッド暗号で保護されている。指示の受信用とデータの送信用でそれぞれ異なる鍵ペアが設定されており、通信内容が第三者に傍受されても容易には解析できない仕組みになっている。

DNSのAAAAレコードを利用した接続維持

カレンダーへのアクセスを確実に維持するため、HollowGraphには第2の補助的な通信チャネルも用意されている。これは、アカウントの認証情報を最新の状態に保つための仕組みだ。

マルウェアは、マイクロソフトのID管理システムである「Entra ID（旧Azure AD）」の接続情報（テナントID、クライアントID、クライアントシークレットなど）をDNS経由で更新する。具体的には、攻撃者が用意したドメインである cloudlanecdn[.]com に対してDNS問い合わせを行い、その応答として返されるIPv6用の「AAAA（クアッドエー）レコード（ドメイン名にIPv6アドレスを紐付けるDNSの設定）」に含まれるデータから新しい認証情報を復元する。

復元された接続情報は、通常のログファイルを装った logAzure.txt というファイルに保存される。カレンダーの暗号化されたトラフィックとは対照的に、このDNSを利用した認証情報の更新チャネルは暗号化されず、平文で行われるのが特徴である。

イラン関連グループとの類似性と被害状況

Group-IBの調査によると、HollowGraphはそのコードやコマンド構文、内部指令の内容から、2026年7月初旬にセキュリティ企業Check Pointが詳細を公表したバックドア型フレームワーク「Cavern」との間に高い関連性があると結論付けられている。Cavernは、イラン情報治安省との関連が疑われる攻撃グループ「Cavern Manticore」（MuddyWaterやLyceumといった既知のグループと一部が重複する組織）によって使用されていたとされる。

ただし、Group-IBは今回のキャンペーンを特定の攻撃グループへ直接紐付けることについては慎重な姿勢をとっている。「現時点で入手可能な証拠からは、過去に特定された攻撃グループへ確信を持って帰属させることはできない」としつつも、イラン系グループ「Lyceum」との間でわずかな重複がみられると言及するにとどめている。また、被害を受けたアカウントがイスラエルの組織のものであったことも判明しているが、これは被害を受けた地理的な事実に過ぎず、攻撃者の特定を決定付けるものではないとされている。

このマルウェアは、2026年6月3日から7月9日にかけて実施された分析期間中に、少なくとも12台のシステムで検出された。その中で実際に攻撃者と通信を行っていたのは3台のみであったという。Group-IBは、この限定的で注意深く選択されたターゲット層から、無差別なサイバー犯罪ではなく、特定の組織を狙った「標的型のスパイ活動」であると評価している。

製品の脆弱性はなく、アクセス権限とログ監視が鍵に

今回の手法は、マイクロソフト製品のプログラム上の不具合（脆弱性）を悪用したものではないため、適用すべき修正プログラム（パッチ）は存在しない。侵害された正規のアカウントと、Microsoft Graph APIの本来の機能を悪用していることが、検知を非常に難しくしている要因である。

そのため、対策の焦点はアカウントの認証・認可管理と監視に置かれる。Group-IBは、以下のようなカレンダーの不審な動きを監視することを推奨している。

• 「2050年5月13日」などのあり得ない遠い未来の日付で作成された予定
• 件名がGUID（重複しないよう生成される一意の識別番号）のみになっている予定、または Event ID: や Boss{..}ID{..} といった特定の規則で命名された予定
• File{n}.txt という規則的な名称の添付ファイル

また、組織側のID管理の対策として、Graph APIへのアクセス権限を持つ「OAuth（外部アプリに限定的なアクセス権を安全に付与する規格）」アプリケーションのアクセス制限や監査を厳格化することや、新たに作成されたクライアントシークレットに対するアラート設定を行うことを推奨している。さらに、通常のユーザーではなく、アプリケーションによって作成または更新されたカレンダーの予定や添付ファイル、不審なDNSクエリの発生状況（長い無作為なサブドメインなど）も継続的に監視することが重要となる。

信頼されたクラウドサービスの中にコマンド通信を隠蔽する手法自体は、OutlookのメールボックスやOneDriveなどを舞台に過去にも確認されている。しかし、人々の死角となる「2050年」というはるか未来の予定表に目を付けたのは、攻撃者が常に監視の手から逃れる新たな場所を探し求めている証左だ。現在も被害アカウントからデータが流出していた懸念があることから、関係組織は自身のカレンダーやアクセス権の状況を速やかに確認すべきだろう。