침해된 마이크로소프트 365 캘린더로 명령 주고받는 악성코드 HollowGraph 확인

무슨 일이 확인됐나

Group-IB는 침해된 마이크로소프트 365 사서함의 캘린더를 명령·제어(C2) 채널로 사용하는 악성코드 HollowGraph를 확인했다. 명령·제어(C2) 채널은 공격자가 감염 시스템에 지시를 보내고 데이터를 빼내는 통신 경로다.

최소 12대의 시스템에서 HollowGraph가 발견됐고, 분석 기간에 공격자와 실제로 통신한 시스템은 약 3대였다. 피해 시스템의 통신은 2026년 6월 3일부터 7월 9일까지 관측됐다.

탈취 데이터 전송에 쓰인 침해 사서함은 이스라엘 조직 소유다. Group-IB는 확인된 감염 범위를 선별적인 표적 스파이 활동으로 평가했다.

캘린더를 통신 채널로 쓰는 방식

이 악성코드는 침해된 계정으로 Microsoft Graph API에 인증해 통신한다. Microsoft Graph API는 마이크로소프트 365 서비스에 접근하는 정상 인터페이스로, 이를 이용해 공격 통신이 정상 트래픽처럼 보이게 위장한다.

공격자는 캘린더 이벤트 날짜를 2050년 5월 13일로 설정해 사용자 눈에 띄지 않게 두고, 그 이벤트 첨부파일에 명령과 탈취 데이터를 숨긴다. HollowGraph가 지원하는 명령은 캘린더에서 명령을 찾아 복호화하는 것과 탈취 파일을 암호화해 새 이벤트에 첨부하는 것 두 가지다.

캘린더 통신은 RSA와 AES-256을 결합한 암호화로 보호되며, 수신 명령과 발신 데이터의 암호화 수단은 분리돼 있다. 이와 별도로 비암호화 DNS 통신을 이용해 cloudlanecdn[.]com의 IPv6 AAAA 레코드 응답에서 Entra ID 인증 정보를 받아 갱신하고 logAzure.txt에 저장한다.

배후와 남은 쟁점

Group-IB는 명령 구문과 내부 작업 방식의 일치를 근거로 HollowGraph와 Cavern 프레임워크의 연관성을 높은 신뢰도로 평가했다. 다만 현재 증거만으로는 활동을 특정 위협 행위자에게 확신 있게 귀속할 수 없으며, Lyceum과는 낮은 신뢰도의 기술적 유사성만 확인됐다고 밝혔다.

이 방식은 확인된 마이크로소프트 소프트웨어 취약점이 아니라 침해된 계정과 Graph API의 정상 기능을 이용하므로 배포할 소프트웨어 패치가 없다. Group-IB는 Microsoft Graph와 마이크로소프트 365 감사 로그에서 애플리케이션이 만든 의심스러운 캘린더 활동, 특히 먼 미래의 이벤트와 비정상적인 제목·첨부파일을 점검하라고 권고했다.