HollowGraph: Malware Espionase yang Mengubah Kalender Microsoft 365 Menjadi Saluran Command-and-Control Tersembunyi
Daftar Isi 28 bagian
Ringkasan Eksekutif
Pada 20 Juli 2026, perusahaan intelijen ancaman global Group-IB mempublikasikan laporan teknis mendalam mengenai HollowGraph, sebuah komponen malware modular Windows yang menerapkan teknik command-and-control (C2) yang sangat tersembunyi dengan mengeksploitasi kalender Microsoft 365 sebagai saluran komunikasi dua arah. Malware ini menggunakan Microsoft Graph API – antarmuka resmi Microsoft – untuk menyembunyikan lalu lintas C2 di antara komunikasi cloud yang sah, menjadikannya sangat sulit dideteksi oleh solusi keamanan perimeter tradisional.
HollowGraph diidentifikasi sebagai bagian dari kerangka backdoor yang lebih besar bernama Cavern, dan dikaitkan – meskipun dengan tingkat keyakinan rendah – dengan aktor ancaman beririsan Iran yang dikenal sebagai Lyceum, sub-kelompok dari OilRig (APT34). Kampanye ini menunjukkan tingkat kematangan operasional yang tinggi: dari 12 sistem terinfeksi yang teridentifikasi, hanya tiga yang secara aktif berkomunikasi dengan infrastruktur penyerang, menunjukkan kontrol yang ketat dan pendekatan “kualitas di atas kuantitas” yang konsisten dengan operasi spionase siber bertarget.
Penemuan HollowGraph menandai eskalasi signifikan dalam taktik “living-off-the-cloud” – di mana penyerang tidak lagi hanya menyalahgunakan tool sistem operasi lokal, tetapi juga menyalahgunakan infrastruktur cloud tepercaya untuk menyembunyikan operasi mereka di depan mata.
Kronologi Penemuan
| Tanggal | Peristiwa |
|---|---|
| Tidak diungkapkan (pra-Juli 2026) | Group-IB mengidentifikasi aktivitas mencurigakan pada sistem Windows yang melibatkan panggilan Microsoft Graph API tidak biasa |
| Tidak diungkapkan | Analisis forensik mengidentifikasi komponen malware yang menggunakan kalender Microsoft 365 sebagai mekanisme C2 |
| Tidak diungkapkan | Group-IB menghubungkan malware dengan kerangka Cavern dan mengidentifikasi kemiripan dengan TTP Lyceum/OilRig |
| 20 Juli 2026 | Group-IB mempublikasikan laporan teknis lengkap tentang HollowGraph, termasuk IOC dan panduan deteksi |
Detail Teknis: Arsitektur HollowGraph
Mekanisme Command-and-Control Berbasis Kalender
Inovasi utama HollowGraph terletak pada mekanisme C2-nya yang sepenuhnya beroperasi di dalam ekosistem cloud Microsoft 365 yang tepercaya. Alih-alih membuat koneksi langsung ke server yang dikontrol penyerang – yang dapat dideteksi oleh firewall, IDS/IPS, atau proxy – HollowGraph menggunakan kalender Microsoft 365 dari akun yang telah dikompromikan sebagai “dead drop” dua arah.
Mekanisme ini bekerja dalam dua arah:
Arah Masuk (Tasking – Menerima Perintah):
- Penyerang menyisipkan instruksi sebagai lampiran pada event kalender dengan subjek spesifik, misalnya
Event ID: <taskID 7 karakter> - Event kalender ini dijadwalkan pada tanggal yang sangat jauh di masa depan: 13 Mei 2050
- Malware secara berkala melakukan polling terhadap kalender melalui Microsoft Graph API untuk mencari event dengan karakteristik tersebut
- Ketika ditemukan, lampiran diunduh, didekripsi, dan dieksekusi sebagai perintah
Arah Keluar (Exfiltration – Mengirim Data Curian):
- Data yang dicuri dienkripsi dan diunggah sebagai lampiran pada event kalender baru yang juga bertanggal masa depan
- Event exfiltration mengikuti pola penamaan
Boss{...}ID{...}dengan lampiran diberi namaFile{n}.txt - Karena lalu lintas menuju Microsoft Graph API adalah komunikasi normal dalam organisasi yang menggunakan Microsoft 365, aktivitas ini sangat sulit dibedakan dari penggunaan sah
Kanal Sekunder: DNS Tunneling untuk Pembaruan Kredensial
HollowGraph juga menerapkan kanal komunikasi sekunder melalui DNS tunneling untuk mempertahankan persistensi dan memperbarui kredensial:
- Malware mengirimkan kueri DNS tipe AAAA (IPv6) ke domain yang dikontrol penyerang:
cloudlanecdn[.]com - Respons DNS berisi data terenkode yang digunakan untuk memperbarui konfigurasi, termasuk:
- Tenant ID Microsoft Entra ID (Azure AD)
- Client ID
- Client secret
- Kredensial mailbox
- Data konfigurasi ini disimpan dalam file lokal bernama
logAzure.txt– disamarkan sebagai file log biasa
Penggunaan DNS tunneling sebagai kanal sekunder adalah pilihan desain yang cerdas: DNS sering kali kurang dimonitor secara ketat dibandingkan protokol lain, dan kueri AAAA untuk domain yang tidak biasa dapat dengan mudah terlewatkan di antara volume besar lalu lintas DNS normal.
Enkripsi Hibrida: RSA dan AES-256-GCM
HollowGraph menggunakan skema kriptografi hibrida yang dirancang untuk memastikan kerahasiaan dan integritas komunikasi:
- RSA-OAEP digunakan untuk pertukaran kunci dan enkripsi asimetris
- AES-256-GCM digunakan untuk enkripsi simetris data aktual
- Dua pasangan kunci RSA yang berbeda digunakan untuk arah masuk (tasking) dan arah keluar (exfiltration), memastikan kedua arah komunikasi tetap independen secara kriptografis
Pemisahan kunci untuk inbound dan outbound adalah praktik keamanan operasional (OPSEC) yang matang. Jika satu kunci dikompromikan, arah komunikasi lainnya tetap terlindungi.
Kompilasi dan Eksekusi
HollowGraph dikompilasi sebagai .NET binary menggunakan NativeAOT – sebuah fitur yang diperkenalkan di .NET 7/8 yang mengkompilasi kode .NET langsung ke kode native. Penggunaan NativeAOT memberikan beberapa keuntungan bagi penyerang:
- Tidak memerlukan .NET runtime pada sistem target
- Lebih sulit untuk didekompilasi dibandingkan .NET assembly tradisional
- Signature antivirus tradisional yang menargetkan pola .NET IL mungkin tidak efektif
- Ukuran binary lebih kecil dan waktu startup lebih cepat
Struktur Perintah
Malware menggunakan format perintah terstruktur yang konsisten dengan kerangka Cavern:
<command>_;;_<arg0>_,_<arg1>_,_<arg2>
Salah satu perintah yang teridentifikasi adalah 003, yang berfungsi sebagai toggle untuk debug logging – sebuah fitur yang memungkinkan operator mengaktifkan atau menonaktifkan output diagnostik untuk menghindari meninggalkan jejak forensik yang tidak perlu.
Atribusi: Koneksi ke Cavern dan Lyceum
Kerangka Cavern
Group-IB mengidentifikasi HollowGraph sebagai komponen dari kerangka backdoor Cavern – sebuah platform serangan yang lebih besar yang menyediakan infrastruktur untuk operasi spionase siber. Penggunaan format perintah yang identik dan pola perilaku yang konsisten memperkuat hubungan ini.
Kemungkinan Koneksi ke Iran: Lyceum dan OilRig
Berdasarkan analisis teknis, Group-IB mencatat kemiripan antara TTP HollowGraph dan aktor ancaman yang dikenal sebagai Lyceum – sebuah sub-kelompok dari OilRig (juga dikenal sebagai APT34), kelompok spionase siber yang dikaitkan dengan Iran. Kemiripan ini mencakup pola operasional, preferensi target, dan teknik penyamaran.
Namun, Group-IB secara eksplisit menyatakan bahwa atribusi ini memiliki tingkat keyakinan rendah. Dalam lanskap ancaman modern, false flag dan overlapping TTP antar kelompok semakin umum, dan atribusi definitif memerlukan bukti tambahan di luar kemiripan teknis.
Profil Target
Kampanye HollowGraph menunjukkan targeting yang sangat selektif – sebuah karakteristik operasi spionase siber profesional:
- Lokasi geografis: Target utama terkonsentrasi di Israel
- Jumlah infeksi: Hanya 12 sistem terinfeksi yang teridentifikasi
- Infeksi aktif: Dari 12 tersebut, hanya 3 yang secara aktif berkomunikasi dengan infrastruktur penyerang
- Sektor: Tidak diungkapkan secara spesifik, namun pola targeting konsisten dengan operasi spionase terhadap entitas pemerintahan, pertahanan, dan teknologi
Rasio infeksi aktif yang rendah menunjukkan kontrol operasional yang ketat – operator hanya mempertahankan akses ke sistem yang dianggap bernilai tinggi, sementara infeksi lain dibiarkan dorman sebagai cadangan.
Dampak dan Implikasi
Bagi Organisasi yang Menggunakan Microsoft 365
HollowGraph mengekspos kerentanan fundamental dalam model keamanan berbasis perimeter: ketika penyerang beroperasi sepenuhnya di dalam infrastruktur cloud tepercaya, pertahanan tradisional menjadi tidak relevan. Lalu lintas Microsoft Graph API adalah lalu lintas normal yang diharapkan dalam organisasi pengguna Microsoft 365 – firewall tidak akan memblokirnya, proxy tidak akan menandainya, dan IDS tidak akan memicu alert.
Ini berarti organisasi harus mengadopsi pendekatan deteksi yang lebih dalam:
- Monitoring perilaku API, bukan hanya monitoring jaringan
- Analisis anomali pada penggunaan Graph API, bukan hanya filtering traffic
- Audit izin aplikasi Entra ID secara berkala untuk mendeteksi grant yang tidak sah
Bagi Pengguna Microsoft 365
Meskipun HollowGraph tampaknya digunakan dalam kampanye bertarget terbatas, teknik yang didemonstrasikan memiliki implikasi lebih luas. Metode “calendar dead drop” dapat diadopsi oleh aktor ancaman lain – termasuk kelompok ransomware dan kejahatan siber – untuk menyembunyikan komunikasi C2 mereka.
Penggunaan event kalender bertanggal 2050 adalah teknik penyamaran yang sederhana namun efektif. Pengguna rata-rata tidak akan pernah melihat event yang dijadwalkan 24 tahun di masa depan pada tampilan kalender default mereka, memungkinkan data berbahaya bersembunyi di depan mata.
Bagi Komunitas Keamanan Siber
HollowGraph bergabung dengan daftar pendek namun terus bertambah dari malware yang menerapkan teknik “living-off-the-cloud”. Ini mewakili evolusi dari “living-off-the-land” – di mana penyerang menyalahgunakan tool bawaan sistem operasi – menuju eksploitasi infrastruktur cloud yang semakin menjadi tulang punggung operasi bisnis modern.
Analisis Keamanan Siber
Mengapa Teknik Ini Efektif
Efektivitas HollowGraph bertumpu pada tiga pilar:
-
Penyalahgunaan Kepercayaan: Microsoft Graph API secara inheren dipercaya oleh infrastruktur keamanan organisasi. Tidak ada firewall yang memblokir panggilan ke
graph.microsoft.com. -
Penyamaran dalam Volume: Organisasi besar menghasilkan volume besar panggilan Graph API setiap hari – dari klien email, aplikasi mobile, integrasi pihak ketiga, dan otomatisasi internal. Beberapa panggilan tambahan dari malware sangat mudah tersamarkan.
-
Persistensi melalui Kredensial yang Diperbarui: DNS tunneling untuk pembaruan kredensial berarti bahwa bahkan jika kredensial awal ditemukan dan dicabut, malware dapat memperoleh kredensial baru tanpa bergantung pada mekanisme persistensi berbasis file tradisional.
Perbandingan dengan Teknik C2 Lainnya
| Teknik C2 | Deteksi Perimeter | Deteksi Endpoint | Deteksi Cloud |
|---|---|---|---|
| HTTP/HTTPS ke server attacker | Dapat diblokir oleh proxy/firewall dengan threat intel | Dapat dideteksi oleh EDR | Tidak relevan |
| DNS Tunneling | Dapat dideteksi oleh DNS monitoring | Sulit dideteksi | Tidak relevan |
| Social Media C2 (Twitter, Discord) | Sulit diblokir tanpa memblokir seluruh platform | Sulit dideteksi | Tidak relevan |
| Calendar C2 (HollowGraph) | Tidak terdeteksi – lalu lintas sah ke Microsoft | Sangat sulit – menggunakan API sistem | Dapat dideteksi – dengan monitoring Graph API |
Tabel di atas menunjukkan pergeseran fundamental: pertahanan harus bergerak dari perimeter dan endpoint menuju cloud API monitoring.
Implikasi bagi Model Zero Trust
HollowGraph memvalidasi pendekatan Zero Trust secara retroaktif. Dalam model Zero Trust, tidak ada lalu lintas yang dipercaya secara default – bahkan lalu lintas ke graph.microsoft.com. Namun, implementasi praktis dari prinsip ini pada tingkat API masih sangat jarang di sebagian besar organisasi.
Mitigasi dan Rekomendasi Keamanan
1. Monitoring Microsoft Graph API
| Prioritas | Tindakan |
|---|---|
| SEGERA | Aktifkan Microsoft 365 audit logging untuk operasi Graph API kritis, termasuk Mail.Read, Mail.ReadWrite, Calendars.Read, Calendars.ReadWrite |
| SEGERA | Konfigurasikan alert untuk pembuatan event kalender dengan tanggal tidak wajar (jauh di masa depan seperti tahun 2050) |
| TINGGI | Monitor lonjakan tidak biasa dalam panggilan Graph API dari satu akun pengguna atau aplikasi |
| TINGGI | Audit izin aplikasi Entra ID secara berkala – hapus grant yang tidak dikenal atau tidak digunakan |
2. Deteksi DNS Tunneling
| Prioritas | Tindakan |
|---|---|
| TINGGI | Monitor volume kueri DNS AAAA (IPv6) yang tidak biasa dari host internal |
| TINGGI | Blokir atau alert untuk kueri DNS ke domain yang baru didaftarkan atau jarang diakses |
| SEDANG | Implementasikan DNS sinkholing untuk domain mencurigakan |
| SEDANG | Analisis entropi pada subdomain DNS – kueri DNS tunneling sering memiliki karakteristik entropi tinggi |
3. Deteksi Endpoint
| Prioritas | Tindakan |
|---|---|
| TINGGI | Cari keberadaan file logAzure.txt pada endpoint Windows – file ini adalah indikator kompromi spesifik HollowGraph |
| TINGGI | Monitor eksekusi .NET NativeAOT binary yang tidak dikenal |
| SEDANG | Periksa proses yang melakukan panggilan tidak biasa ke endpoint Microsoft Graph API |
| SEDANG | Terapkan application control untuk membatasi eksekusi binary yang tidak ditandatangani |
4. Hardening Identity dan Akses
| Prioritas | Tindakan |
|---|---|
| KRITIS | Terapkan Multi-Factor Authentication (MFA) untuk semua akun – khususnya akun dengan akses ke Graph API |
| TINGGI | Terapkan Conditional Access Policy untuk membatasi akses Graph API hanya dari lokasi dan perangkat tepercaya |
| TINGGI | Rotasi kredensial secara berkala, terutama client secret untuk aplikasi Entra ID |
| SEDANG | Batasi izin aplikasi yang dapat diberikan kepada service principal – terapkan prinsip least privilege |
5. Incident Response
| Prioritas | Tindakan |
|---|---|
| SEGERA | Jika IOC HollowGraph terdeteksi, asumsikan akun Microsoft 365 terkait telah dikompromikan sepenuhnya |
| SEGERA | Cabut semua token akses untuk akun terdampak menggunakan Revoke-AzureADUserAllRefreshToken |
| TINGGI | Rotasi client secret dan hapus aplikasi Entra ID yang mencurigakan |
| TINGGI | Lakukan investigasi forensik pada kalender Exchange Online untuk mengidentifikasi event mencurigakan bertanggal masa depan |
Indikator Kompromi (IOC)
| Jenis | Nilai |
|---|---|
| Domain C2 (DNS Tunneling) | cloudlanecdn[.]com |
| File Konfigurasi | logAzure.txt |
| Pola Event Kalender | Event bertanggal 13 Mei 2050 (2050-05-13) |
| Pola Subjek Event | Event ID: <7 karakter> |
| Pola Nama Event Exfiltrasi | Boss{...}ID{...} |
| Pola Lampiran | File{n}.txt |
| Format Perintah | <command>_;;_<arg0>_,_<arg1>_,_<arg2> |
Kesimpulan
HollowGraph merepresentasikan lompatan dalam kecanggihan teknik “living-off-the-cloud” – mengubah kalender Microsoft 365 dari alat produktivitas menjadi saluran komunikasi rahasia untuk operasi spionase siber. Dengan menyembunyikan lalu lintas C2 di dalam API cloud yang tepercaya dan menggunakan event bertanggal 2050 sebagai penyamaran, malware ini mendemonstrasikan pemahaman mendalam tentang arsitektur cloud Microsoft dan celah dalam pendekatan keamanan tradisional.
Meskipun kampanye HollowGraph saat ini tampak terbatas pada target di Israel dan dikaitkan secara tentatif dengan aktor ancaman Iran, teknik yang didemonstrasikan memiliki implikasi yang jauh melampaui kampanye spesifik ini. Metode calendar dead drop, DNS tunneling untuk pembaruan kredensial, dan penggunaan NativeAOT untuk menghindari deteksi adalah teknik yang dapat – dan kemungkinan akan – diadopsi oleh aktor ancaman lain.
Bagi organisasi yang bergantung pada Microsoft 365, HollowGraph adalah panggilan untuk membangunkan pertahanan berbasis API. Firewall dan EDR tradisional tidak akan mendeteksi ancaman yang bersembunyi di dalam lalu lintas cloud yang sah. Yang diperlukan adalah pergeseran fundamental menuju monitoring perilaku cloud API, audit izin yang ketat, dan penerapan prinsip Zero Trust tidak hanya pada perimeter jaringan, tetapi juga pada lapisan aplikasi dan API.
Penemuan HollowGraph oleh Group-IB juga menyoroti pentingnya kolaborasi antara penelitian intelijen ancaman dan pertahanan organisasi. Tanpa analisis forensik mendalam dan publikasi IOC, teknik canggih seperti calendar dead drop dapat beroperasi tanpa terdeteksi selama bertahun-tahun – tersembunyi di dalam kalender yang diproyeksikan hingga tahun 2050.
Artikel ini disusun berdasarkan laporan teknis Group-IB (HollowGraph: Turning Microsoft 365 Calendars into Covert Command-and-Control Channels, 20 Juli 2026), analisis intelijen ancaman dari SecurityWeek dan BleepingComputer, serta pemantauan tim Threat Intelligence Seraphim News terhadap lanskap ancaman malware dan APT terkini.
