Malware HollowGraph Gunakan Kalender Microsoft 365 Curi Data

Telset.id – Peneliti keamanan dari Group-IB menemukan malware baru bernama HollowGraph yang mencuri data sensitif dari perangkat korban dengan cara yang tidak biasa, yaitu memanfaatkan aplikasi Kalender Microsoft 365 yang sudah disusupi. Malware ini menggunakan Microsoft Graph API dan kalender email yang telah dikompromikan sebagai saluran komunikasi dengan operatornya, membuat lalu lintas data mencurigakan terlihat seperti aktivitas normal.

Malware ini dirancang untuk menyusup ke perangkat dan mengambil alih akun Microsoft 365. Setelah berhasil, HollowGraph menggunakan izin akun tersebut untuk mengakses Microsoft Graph. Operator malware kemudian membuat entri kalender yang berisi instruksi dan menempatkannya jauh di masa depan, tepatnya di tahun 2050, untuk menghindari kecurigaan.

Setelah menjalankan instruksi dan mengumpulkan data berharga, malware ini mengeksfiltrasi data melalui saluran yang sama. Alih-alih mengunggah file ke server mencurigakan, HollowGraph melampirkan data curian yang telah dienkripsi ke dalam event kalender dan mengirimkannya melalui Microsoft Graph. Bagi tim keamanan, semua lalu lintas ini tampak sah dan biasanya luput dari pemantauan.

Sejauh ini, seluruh korban yang teridentifikasi adalah entitas di Israel. Group-IB menemukan setidaknya 12 sistem yang telah dikompromikan, tiga di antaranya masih aktif berkomunikasi dengan infrastruktur penyerang selama penyelidikan berlangsung.

Para peneliti belum mengaitkan serangan ini dengan aktor ancaman tertentu, namun menemukan kemiripan teknis dalam struktur perintah dan mekanisme plugin antara framework HollowGraph, Cavern, dan backdoor .NET yang digunakan oleh Lyceum, kelompok ancaman yang diduga terkait Iran dan berafiliasi dengan OilRig. Meski demikian, Group-IB secara eksplisit menekankan bahwa kesamaan ini belum cukup kuat untuk dijadikan dasar atribusi dengan keyakinan tinggi.

Cara kerja HollowGraph ini unik karena memanfaatkan celah dalam cara sistem keamanan biasanya mendeteksi malware. Umumnya, cara terbaik untuk menemukan malware tersembunyi adalah dengan memonitor lalu lintas yang masuk dan keluar dari perangkat. Oleh karena itu, pelaku kejahatan siber berusaha keras menyembunyikan lalu lintas ini, atau mencampurnya dengan lalu lintas lain yang sah.

HollowGraph mengambil pendekatan berbeda dengan menyalahgunakan layanan yang sah dan tepercaya, yaitu Microsoft Graph API dan kalender Microsoft 365. Dengan menyembunyikan instruksi di entri kalender masa depan dan mengirim data curian sebagai lampiran event, malware ini secara efektif lolos dari deteksi sistem keamanan tradisional.

Kasus ini menjadi pengingat penting bahwa ancaman siber terus berkembang dan semakin canggih. Pengguna dan organisasi, terutama yang berada di sektor sensitif, perlu meningkatkan kewaspadaan dan memperbarui protokol keamanan mereka. Meskipun serangan saat ini menargetkan entitas di Israel, teknik yang digunakan bisa saja diadopsi oleh aktor lain untuk menyerang target di berbagai belahan dunia.