Group-IB Temukan Malware HollowGraph yang Menargetkan Entitas Israel dan Mengungkap Berkas Melalui Microsoft Graph API
Para peneliti keamanan siber dari Group-IB baru saja mengungkap sebuah malware baru bernama HollowGraph. Malware ini dirancang khusus untuk mengambil data sensitif dari perangkat yang telah terkompromi.
Yang membuat HollowGraph menarik adalah cara malware ini berkomunikasi dengan operatornya. Umumnya, cara terbaik untuk mendeteksi malware tersembunyi adalah dengan memantau lalu lintas data yang masuk dan keluar dari perangkat. Namun, para penjahat siber berusaha keras untuk menyembunyikan lalu lintas ini atau bahkan mencampurkannya dengan data yang sah. Dalam hal ini, HollowGraph cukup unik karena mengeksploitasi Microsoft Graph API dan kalender Microsoft 365 yang telah terkompromi.
Belasan Korban
Setelah berhasil masuk ke perangkat dan mengkompromikan akun Microsoft 365, HollowGraph memanfaatkan izin yang ada di akun tersebut untuk mengakses Microsoft Graph. Para operator menciptakan entri kalender yang berisi instruksi dan menjadwalkannya jauh di masa depan, misalnya tahun 2050, agar tidak terdeteksi. Setelah mengikuti instruksi dan mengumpulkan informasi berharga, malware ini mengekstrak data melalui saluran yang sama.
Alih-alih mengunggah berkas ke server yang mencurigakan, HollowGraph melampirkan data yang telah dienkripsi ke entri kalender dan mengirimkannya melalui Microsoft Graph. Bagi para pembela, semua lalu lintas ini tampak sah dan seringkali tidak terdeteksi.
Hingga saat ini, semua korban adalah entitas-entitas yang berlokasi di Israel. Group-IB melaporkan telah mengidentifikasi minimal 12 sistem yang telah terkompromi, di mana tiga di antaranya masih aktif berkomunikasi dengan infrastruktur penyerang selama penyelidikan.
Walaupun para peneliti tidak mengatribusikan serangan ini kepada aktor ancaman tertentu, mereka mencatat adanya potensi keterkaitan. Mereka menemukan kesamaan teknis dalam struktur komando dan mekanisme plugin antara kerangka kerja HollowGraph, Cavern, dan backdoor .NET yang digunakan oleh Lyceum, sekelompok penjahat siber yang bertautan dengan Iran dan terkait dengan OilRig. Namun, Group-IB secara tegas menekankan bahwa kesamaan ini tidak cukup jelas, sehingga mereka menilai hubungan ini dengan tingkat kepastian yang rendah.
Keberadaan HollowGraph ini menunjukkan betapa pentingnya bagi kita untuk selalu waspada dan menjaga keamanan sistem yang kita gunakan, khususnya yang berhubungan dengan platform besar seperti Microsoft 365. Diperlukan perhatian ekstra dari setiap pengguna untuk memperkuat pertahanan siber dan mencegah terjadinya serangan yang lebih besar di masa depan.
Di era digital saat ini, strategi striptis dalam komunikasi oleh para penjahat siber semakin kompleks. Setiap individu maupun entitas harus proaktif dalam memahami dan mengatasi potensi risiko yang ada agar dapat beroperasi dengan aman dalam dunia yang semakin terhubung ini.
