HollowGraph: 악성 소프트웨어가 2050년 Microsoft 365 이벤트에 C2 및 도난 데이터 숨기기

하ollowGraph가 24년 전으로 후 dat된 Microsoft 365 이벤트를 은밀한 우편함으로 사용하여 파일 탈취 및 명령 수신, 알림 없이 활동

사실

사이버 위협 연구 기관 Group-IB은 2026년 7월 20일 해커 뉴스(The Hacker News)를 통해 HollowGraph라는 이름의 악성코드 패밀리를 문서화했는데, 이 악성코드는 Microsoft 365 캘린더 이벤트를 명령 및 제어(C2) 채널이자 탈취 데이터 은닉 장소로 활용한다는 특징이 있습니다. 생성된 이벤트는 기본 캘린더 뷰(오늘, 이번 주, 이번 달)에 표시되지 않도록 2050년과 같은 매우 먼 날짜를 사용합니다.

HollowGraph라는 이름은 Group-IB이 명명한 것이며 기술적 설명은 해당 기관이 공개했습니다. 해커 뉴스가 이를 전파했습니다.

기술적으로 HollowGraph는 Microsoft Graph API를 기반으로 작동합니다. 공격당한 계정의 캘린더 이벤트를 생성, 읽기, 수정하며, C2 명령은 이벤트의 설명 또는 첨부 파일 필드에 기록됩니다. 탈취된 데이터는 다시 인코딩되어 이벤트에 저장됩니다. 네트워크 게이트웨이 입장에서는 graph.microsoft.com으로의 정상 HTTPS 트래픽으로만 보입니다.

분석

이 기술 자체는 새로운 것이 아닙니다. OneDrive, Teams, SharePoint 또는 Outlook을 악용한 다른 악성코드 패밀리들도 존재했습니다. 그러나 캘린더는 지금까지 과소 모니터링되어 왔습니다. 두 가지 이유가 있습니다:

• 이벤트는 본질적으로 자유 형식 필드이기 때문에 데이터 유출 방지(DLP) 알림을 거의 트리거하지 않습니다.
• UI 기본 뷰(Outlook 및 Teams)에서 먼 날짜는 기본적으로 표시되지 않지만 Graph API에서는 여전히 접근 가능합니다.

주목해야 할 핵심 특징은 Graph API + 비정상적인 시간 범위입니다.

영향 대상

Microsoft 365 조직에서 사용자 계정, 서비스 계정 또는 등록된 애플리케이션(App Registration)이 공격당한 경우 HollowGraph의 영향을 받을 수 있습니다. HollowGraph로의 전환에는 관리자 권한이 필요하지 않으며, 표준 캘린더 권한만 있으면 충분합니다.

지금 해야 할 일

1. Graph 감사 로그 검색: Event.ReadWrite 유형의 요청 중 start.dateTime이 2035를 초과하는 이벤트를 조사하세요. 이 임계값은 임의로 설정된 것이며, 비즈니스 환경에 맞게 조정하세요.
2. DLP 규칙 설정: base64로 인코딩된 페이로드(긴 base64, 바이너리 청크, 매직 바이트)가 포함된 이벤트 설명을 검사하세요.
3. 앱 동의 관리: Calendars.ReadWrite 권한을 요청한 서드파티 애플리케이션을 검토하세요. 해당 권한을 보유한 사용하지 않는 앱은 동의 철회를 고려하세요.
4. UEBA 탐지: 하루에 수십 개의 이벤트를 갑자기 생성하거나 2050년으로 이벤트를 작성하는 계정은 신호로 간주하세요.

핵심 요약

HollowGraph는 수년 동안 반복된 규칙을 보여줍니다: C2는 이미 정상적인 트래픽으로 위장된 곳에 숨어 있습니다. GitHub, Discord, Telegram, Slack에 이어 M365 캘린더가 공격자의 도구 상자에 추가된 것입니다. 탐지 규칙도 이에 맞춰 업데이트해야 합니다.