Group-IB: נוזקה HollowGraph משתמשת ביומן של Microsoft 365 נגד גופים בישראל
Group-IB חושפת את HollowGraph, נוזקה שמעבירה פקודות וגונבת מידע דרך אירועי יומן ב-Microsoft 365. לפי החברה, הקמפיין ממוקד בגופים ישראליים, ולפחות 12 מערכות נדבקו בו.
TL;DR בקצרה
- ב-20 ביולי 2026 פרסמה Group-IB דוח על HollowGraph, נוזקת Windows שמשתמשת ביומן של Microsoft 365 כערוץ שליטה.
- לפחות 12 מערכות נדבקו, והקשר בין התוקפים לקורבנות נמשך בין 3 ביוני ל-9 ביולי. לפי הדוח, היעדים ישראליים.
- הנוזקה לא פונה לשרת של התוקפים. הפקודות והמידע הגנוב עוברים כאירועי יומן עם קבצים מצורפים מוצפנים.
- ההגנה: ניטור פעולות יומן וצירופים שמבצעת אפליקציה ולא משתמש, וגם ניטור שאילתות DNS חריגות.
Group-IB חשפה ב-20 ביולי 2026 נוזקה בשם HollowGraph, שמעבירה פקודות דרך יומן של Microsoft 365. לפי החברה, הקמפיין ממוקד בגופים ישראליים. התוקפים הדביקו בו לפחות 12 מערכות. הם לא פונים ישירות לשרת משלהם, ולכן קשה לזהות את התעבורה.
הדוח מגיע מהחברה עצמה, ו-Infosecurity Magazine סיקרה אותו באותו יום. אין בו שם של קבוצת תוקפים מוכרת. יש בו הנחיות מעשיות לצוותי אבטחה שמנהלים סביבת Microsoft 365.
איך HollowGraph הופכת יומן לערוץ שליטה
Microsoft Graph הוא הממשק שדרכו אפליקציות ניגשות לשירותי Microsoft 365, כמו דואר ויומן. HollowGraph משתמשת בו כדי להפוך יומן של תיבת דואר שנפרצה לערוץ דו-כיווני. התוקפים מניחים שם משימות. הנוזקה מחזירה לשם את המידע שגנבה.
לנוזקה שתי פקודות, get ו-send. הפקודה send יוצרת אירוע יומן שתאריכו 13 במאי 2050. היא מעלה אליו מידע בהצפנה, כצירופים בשם File ובמספר. אחר כך היא משנה את נושא האירוע. הפקודה get מחפשת אירועים בחלון זמן קבוע באותו תאריך. בנושא שלהם מופיע Event ID ומזהה משימה. אחר כך היא מורידה את הצירופים ומפענחת אותם.
ההצפנה משלבת RSA ו-AES-256-GCM. לכל כיוון יש זוג מפתחות RSA משלו. מכיוון שהתעבורה מגיעה לשירותים של Microsoft, הנוזקה לא צריכה ליצור קשר עם שרת של התוקפים.
יש גם ערוץ משני, מבוסס DNS. הנוזקה מפנה שאילתות AAAA לדומיין cloudlanecdn[.]com כדי לרענן ארבעה ערכים של Microsoft Entra ID. אלה מזהה הדייר, מזהה האפליקציה, הסוד שלה ותיבת הדואר. כל כתובת IPv6 שחוזרת נושאת 14 בתים של מידע. לפי Group-IB, ערוץ ה-DNS הזה פועל בלי הצפנה.
מי היעד, ומה ידוע על הקבוצה שמאחורי HollowGraph
החברה מצאה לפחות 12 מערכות נגועות. רק כשלוש מהן תקשרו עם התוקף בזמן התצפית. הקשר הראשון נרשם ב-3 ביוני 2026, והאחרון ב-9 ביולי. Group-IB מגדירה את הפעילות כממוקדת מאוד, ולא כמתקפה אקראית.
היעדים הם גופים ישראליים. תיבת הדואר שנפרצה קשורה לארגון ישראלי, ודגימות של הנוזקה הועלו מישראל. הדוח לא מפרט את שמות הארגונים.
בנוגע לשיוך, Group-IB מקשרת את HollowGraph בביטחון גבוה למסגרת הגנבה Cavern. התאמה בפורמט הפקודות, פקודת רישום דיבאג ומבנה המשימות תומכים בכך. יש גם דמיון נמוך ברמת הביטחון לקבוצה Lyceum, תת-קבוצה של OilRig. אבל ההתאמה לא ייחודית מספיק לשיוך מוצק. החברה מתארת את הפעילות כקשורה לאיראן, ועדיין לא מצאה את התוקף.
מה זה אומר עבורכם
- חפשו את המחוונים: בדקו אם הדומיין cloudlanecdn[.]com או הקובץ logAzure.txt הופיעו אצלכם. הדוח מפרט דומיין אחד ושלושה גיבובי SHA-256.
- סרקו את היומנים: חפשו אירועים מ-13 במאי 2050 ונושאים עם Event ID. חפשו גם נושאים שמכילים רק מזהה וצירופים בשם File.
- עקבו אחרי פעולות של אפליקציות: ביומני Graph API וביומני הביקורת, חפשו יצירת אירועים, העלאת צירופים ושינוי נושא. סמנו פעולות שמבצעת אפליקציה ולא משתמש.
- התריעו על סודות חדשים: הגדירו התראה על client secret חדש באפליקציות OAuth2. סקרו את האפליקציות האלה.
- הסתכלו על ה-DNS: חפשו שאילתות AAAA תכופות ותת-דומיינים ארוכים ואקראיים. העבירו DNS דרך פותרים מבוקרים, וחסמו דומיינים זדוניים מוכרים.
- הקשיחו את הכניסה: הפעילו Conditional Access והחליפו אישורי גישה. זהו אסימונים חריגים ב-Microsoft 365 וב-Entra ID.
מה הלאה
הדוח לא מזהה את הקבוצה, ורק כשלוש מערכות היו פעילות בזמן הניטור. לכן אולי התמונה חלקית. צוותי אבטחה בישראל יכולים להסתייע ברשימת המחוונים של Group-IB ולבדוק את הסביבה שלהם.
הטריק עצמו לא תלוי בקבוצה אחת. תעבורה אל שירותי ענן אמינים לא נראית חשודה. לכן צריך לעקוב אחרי התנהגות, ולא רק אחרי כתובות.
מקורות והרחבה
- HOLLOWGRAPH: Turning Microsoft 365 Calendars into Covert Command-and-Control ChannelsGroup-IB
- New HollowGraph Malware Hijacks Microsoft 365 Calendars for Covert C2 CommunicationsInfosecurity Magazine
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
