HollowGraph、Microsoft 365を悪用したC2通信で検知回避を図る

HollowGraph、Microsoft 365メールボックスをC2に悪用する新たな攻撃手法を確認

Microsoft 365のメールボックスカレンダー機能をコマンド・アンド・コントロール（C2）チャネルとして悪用する新たなマルウェア「HollowGraph」が確認され、セキュリティ業界で警戒が強まっている。このマルウェアは、Microsoft Graph APIを利用して攻撃者からのコマンドを受信し、窃取したデータを外部へ送信する仕組みを備えている。

HollowGraphは、Microsoft GraphやMicrosoft 365といった広く利用されているクラウドサービスを通信経路として悪用することで、通常の業務トラフィックに紛れ込み、従来のセキュリティ対策による検知を回避しようとする特徴を持つ。そのため、組織のメール環境が攻撃基盤として悪用されるリスクが指摘されている。

攻撃者はメールクライアントを利用してカレンダーイベントにコマンドを埋め込み、Microsoft Graph API経由でマルウェアへ指示を送信する。この手法により、正規サービスを利用したC2通信を実現し、データの窃取や外部への送信を継続しながらセキュリティ監視を回避するとみられている。

クラウドサービスを悪用した攻撃への対策強化が課題に

HollowGraphの出現は、クラウドサービスを悪用した攻撃への対策を見直す必要性を浮き彫りにした。特に、SaaS（Software as a Service）アプリケーションのセキュリティ設定やアクセス権限を適切に管理するとともに、Microsoft Graph APIなど正規サービスを利用した不審な通信を継続的に監視することが重要となる。

また、このような攻撃手法の拡大を踏まえ、従来の監視基準や検知ルールを見直し、クラウド環境を前提としたセキュリティ対策を強化することが求められる。アクセス制御の強化や定期的なセキュリティ評価に加え、正規サービスを悪用した異常なAPI利用やC2通信を検知できる体制の整備も重要となる。

今回のHollowGraphの事例は、信頼性の高いクラウドサービスが攻撃基盤として悪用されるリスクを改めて示したものであり、今後も同様の手法が高度化する可能性を踏まえた継続的な対策が必要とされている。