بدافزار HollowGraph از تقویم مایکروسافت 365 برای ارتباطات فرماندهی و کنترل سوءاستفاده می‌کند

شرکت Group-IB از شناسایی بدافزار HollowGraph خبر داده است؛ بدافزاری که به‌عنوان بخشی از یک مجموعه ابزار (Toolkit) بزرگ‌تر، از تقویم یک حساب کاربری مایکروسافت 365 که پیش‌تر مورد نفوذ قرار گرفته است، برای برقراری ارتباطات فرماندهی و کنترل (C2) استفاده می‌کند. بررسی‌های این شرکت نشان می‌دهد بدافزار HollowGraph با بهره‌گیری از رابط برنامه‌نویسی کاربردی مایکروسافت گراف (Microsoft Graph API) دستورات مهاجمان را در قالب رویدادهای تقویم دریافت کرده و داده‌های سرقت‌شده را نیز از همان مسیر استخراج و ارسال می‌کند؛ روشی که ارتباطات مخرب را در میان ترافیک عادی پنهان کرده و شناسایی آن را برای سامانه‌های امنیتی دشوارتر می‌سازد.

سوءاستفاده بدافزار HollowGraph از مایکروسافت 365

بررسی‌های Group-IB نشان می‌دهد که بدافزار HollowGraph احتمالاً بخشی از یک مجموعه ابزار بزرگ‌تر است. همچنین شواهد موجود از ارتباط احتمالی این بدافزار با یکی از عوامل تهدید منتسب به ایران به نام Cavern Manticore حکایت دارد؛ گروهی که شرکت چک‌پوینت (Check Point) نیز اوایل ماه جاری گزارشی درباره فعالیت‌های آن منتشر کرده بود.

به گفته پژوهشگران، مهاجمان برای برقراری ارتباط با بدافزار، از تقویم یک حساب کاربری مایکروسافت 365 که پیش‌تر مورد نفوذ قرار گرفته است، به‌عنوان یک محل تبادل مخفی دوطرفه (Two-way Dead Drop) استفاده می‌کنند. در این روش، دستورات مهاجم در قالب رویدادهای تقویم ثبت می‌شود و ایمپلنت (Implant) نیز پس از دریافت آن‌ها، اطلاعات سرقت‌شده را با ایجاد رویدادهای جدید و پیوست فایل‌های رمزگذاری‌شده به همان تقویم بازمی‌گرداند.

تمامی این تبادلات از طریق رابط برنامه‌نویسی مایکروسافت گراف انجام می‌شود؛ موضوعی که باعث می‌شود ارتباطات فرماندهی و کنترل (C2) در قالب ترافیک مجاز سرویس‌های مایکروسافت انجام شده و شناسایی آن‌ها برای ابزارهای امنیتی دشوارتر شود.

رمزنگاری و پنهان‌سازی داده‌ها

پیلودها در بدافزار HollowGraph، به‌صورت فایل به رویدادهای تقویم پیوست می‌شوند. مهاجمان برای جلوگیری از جلب توجه مالک حساب، تاریخ این رویدادها را روی 13 می 2050 تنظیم می‌کنند تا در استفاده روزمره از تقویم، از دید کاربر پنهان بمانند.

برای محافظت از اطلاعات نیز این بدافزار از رمزنگاری هیبریدی (Hybrid Encryption) مبتنی بر الگوریتم‌های RSA و AES استفاده می‌کند تا محرمانگی پیلودهای مخرب در زمان انتقال حفظ شود.

کانال ارتباطی پشتیبان و قربانیان شناسایی‌شده

بدافزار HollowGraph علاوه بر کانال ارتباطی اصلی، از یک مسیر ارتباطی ثانویه نیز استفاده می‌کند. این بدافزار با بهره‌گیری از تانلینگ DNS (DNS Tunneling)، پیکربندی خود و همچنین اعتبارنامه‌های احراز هویت سامانه مربوط به Microsoft Entra ID (Azure Active Directory) را به‌روزرسانی می‌کند.

شرکت Group-IB تاکنون 12 قربانی این بدافزار را شناسایی کرده است که سه مورد از آن‌ها همچنان با زیرساخت مهاجمان در ارتباط بوده‌اند. قدیمی‌ترین ارتباط ثبت‌شده به 3 ژوئن بازمی‌گردد؛ موضوعی که نشان می‌دهد این بدافزار دست‌کم از ماه گذشته در حملات واقعی مورد استفاده قرار گرفته است.

به گفته Group-IB، شواهد به‌دست‌آمده، از جمله استفاده از یک صندوق پستی اسرائیلی برای استخراج اطلاعات و همچنین بارگذاری نمونه‌های بدافزار از داخل اسرائیل، نشان می‌دهد مهاجمان احتمالاً تمرکز خود را بر نهادها و سازمان‌های اسرائیلی گذاشته‌اند و این عملیات، برخلاف حملات گسترده و فرصت‌طلبانه، اهداف مشخصی را دنبال می‌کند.

بدافزار HollowGraph بدون سرور C2 فعالیت می‌کند

یکی از ویژگی‌های قابل توجه بدافزار HollowGraph این است که برای دریافت پیلود یا دستورات جدید، هرگز به‌طور مستقیم با سرورهای تحت کنترل مهاجمان ارتباط برقرار نمی‌کند. در عوض، این بدافزار تنها از دو دستور زیر برای تبادل داده استفاده می‌کند:

• send: ایجاد رویدادهای تقویم همراه با فایل‌های پیوست‌شده برای ارسال داده‌های سرقت‌شده.
• get: جست‌وجو و دریافت رویدادهای تقویمی ایجادشده توسط مهاجم به‌منظور دریافت دستورات جدید.

این بدافزار پس از اجرا، پیکربندی هاردکدشده خود را در فایلی با نام logAzure.txt روی دیسک ذخیره می‌کند. این فایل حاوی اطلاعات زیر است:

• شناسه مستأجر (Tenant ID) مربوط به سامانه مدیریت هویت Microsoft Entra ID
• شناسه کاربر
• رمز محرمانه کاربر
• آدرس صندوق پستی هدف
• دامنه فرماندهی و کنترل
• دو کلید RSA

ارتباط احتمالی با گروه Lyceum

بررسی‌های Group-IB نشان می‌دهد ساختار دستورات و نحوه عملکرد بدافزار HollowGraph شباهت‌های فنی قابل توجهی با فریم‌ورک Cavern دارد و احتمالاً یکی از واریانت‌های (Variant) این فریم‌ورک به شمار می‌رود.

با این حال، پژوهشگران Group-IB این فعالیت را با اطمینان پایین (Low Confidence) به گروه Lyceum، یکی از زیرگروه‌های OilRig، نسبت می‌دهد. این گروه با نام‌های Hexane و SiameseKitten نیز شناخته می‌شود که پیش‌تر در گزارش‌های امنیتی به وزارت اطلاعات ایران (MOIS) نسبت داده شده بود.

با وجود این، Group-IB تأکید می‌کند شواهد موجود برای نسبت دادن قطعی این عملیات به یک عامل تهدید  شناخته‌شده کافی نیست. هرچند بررسی‌های فنی شباهت‌هایی میان این فعالیت و تاکتیک‌های گروه Lyceum نشان می‌دهد، اما این شباهت‌ها به‌اندازه‌ای نیست که بتوان با اطمینان بالا این عملیات را به این گروه نسبت داد.

منابع