HollowGraph 스파이웨어 분석: Microsoft Graph API와 캘린더로 만든 C2의 모든 것

2026년 7월, 보안 업체 Group-IB는 Microsoft 365 캘린더 기능을 명령 채널로 악용하는 신규 스파이웨어 HollowGraph를 공개했다. 이 악성코드는 정상 Microsoft Graph API 트래픽 사이에서 명령을 수신하고窃取 데이터를 은닉해, 전통적인 EDR과 SIEM 탐지 체계를 우회한다. 본문에서는 HollowGraph의 동작 원리와 탐지 난이도, 그리고 실무 대응 전략까지 단계별로 정리한다.

공격 개요: 캘린더로 만든 C2

HollowGraph 발견 경위와 Group-IB 명명 배경

Group-IB는 자사 위협 인텔리전스 분석 과정에서 Microsoft Graph API 호출을 통한 비정상적인 사서함 접근 패턴을 포착하고 이를 HollowGraph로 명명했다. HollowGraph는 기업용 Microsoft 365 테넌트에서 동작하며, 일반적인 멀웨어와 달리 자체 C2 서버를 운영하지 않는다. 대신 운영자가 같은 테넌트 내 또는 침해된 다른 사서함의 캘린더에 명령을 작성하면, 악성코드가 이를 폴링하여 실행 결과를 다시 첨부파일 형태로 업로드하는 구조다. 이러한 설계는 공격 인프라의 도메인, IP, TLS 핑거프린트를 남기지 않게 만든다.

침해 흐름과 초기 접근 경로 추정

공개된 보고서에서 Group-IB는 초기 침투 벡터로 자격 증명 탈취 또는 OAuth 애플리케이션 동의 남용 가능성을 제시했다. HollowGraph는 M365 자격 증명을 확보한 뒤 Graph API 접근 토큰을 발급받아 동작하므로, 피싱, 토큰 탈취, 공급망 자격 증명 유출 등 다양한 경로가 사용될 수 있는 것으로 보인다. 초기 침투 이후에는 사용자 계정 컨텍스트 안에서 활동이 일어나기 때문에 행위 주체 식별이 사용자 본인과 악성코드로 모호해진다는 점이 위협 모델링의 핵심 이슈로 부각된다.

기술적 동작 방식

Microsoft Graph API를 통한 명령 수신 메커니즘

HollowGraph는 /me/events, /users/{id}/calendar/events 엔드포인트를 주기적으로 조회한다. 운영자는 특정 캘린더 이벤트 본문 또는 첨부파일 메타데이터에 Base64 인코딩된 명령을 삽입하고, 악성코드는 이를 해석해 파일 수집, 스크린샷 캡처, 키스트로크 로깅 등의 후속 행위를 수행한다. 이 과정에서 모든 호출은 정상 OAuth 토큰으로 인증되며, User-Agent, API 버전, 요청 패턴 역시 표준 M365 클라이언트와 구분이 어려운 것으로 분석된다.

2050년 이벤트 첨부파일을 활용한 데이터 은닉 및 유출

유출 데이터 역시 동일한 캘린더 채널을 통해 반출된다. HollowGraph는훔치다 정보를 임시 파일로 직렬화한 뒤 2050년으로 설정된 캘린더 이벤트 첨부파일로 업로드한다. 미래 날짜 이벤트는 일반 사용자의 캘린더 뷰에서 우선순위가 낮아 자연스러운 탐색 범위에서 벗어나며, 보관 정책과 eDiscovery 검색에서도 즉시 노출되지 않을 가능성이 있다. 결과적으로窃取 데이터가 동일 M365 테넌트 내부에 머무르게 되어, DLP 정책이 외부 반출을 차단하도록 설계된 환경에서도 탐지 우회가 이루어지는 것으로 보인다.

왜 탐지가 어려운가

정상 트래픽 위장과 API 신뢰 경계의 맹점

Microsoft Graph API는 수십억 사용자가 일상적으로 사용하는 합법적 채널이다. 보안 스택은 일반적으로 graph.microsoft.com 도메인, Microsoft 루트 CA, 정상 클라이언트 IP 대역을 신뢰 구간으로 분류하며, 트래픽 기반 탐지 룰도 외부 C2 인프라 기준으로 작성되어 있다. HollowGraph는 이 신뢰 구간 안에서 동작하므로 네트워크 행위 기반 점수 산정에서 저위험으로 평가될 가능성이 높다.

기존 EDR/SIEM 룰의 한계

EDR은 엔드포인트에서 캘린더 API 호출 자체를 후킹하지 않으며, SIEM은 보통 통합 로그의 인증 이벤트와 관리자 활동 위주로 룰을 구성한다. 캘린더 이벤트의 첨부파일 업로드와 같은 세밀한 Graph API 감사 로그를 활성화하지 않은 조직에서는 탐지 단서가 거의 남지 않는 것으로 분석된다. 또한窃取 데이터가 M365 내부에 머무르므로 외부 데이터 유출 지표(비정상 대용량 아웃바운드, 신규 도메인 업로드 등)도 발생하지 않는다.

영향 범위와 피해 시나리오

기업용 Microsoft 365 환경 위협 평가

HollowGraph의 영향 범위는 Microsoft 365를 업무 환경으로 사용하는 전 조직으로 확장될 가능성이 있다. 특히 일정 관리, 외부 미팅 조율, 첨부파일 공유가 빈번한 영업, 컨설팅, 법무 부서의 사서함이 우선 표적이 될 수 있다.窃取 정보에는 미팅 메타데이터, 첨부 문서, 사용자 행동 패턴이 포함될 수 있으며, 이는 후속 피싱과 표적 공격의 정찰 데이터로 활용될 수 있다.

공급망 및 제3자 신뢰 모델에 대한 함의

운영자가 제3자 협력사의 M365 계정을 C2 릴레이로 사용할 경우, 피해 기업 입장에서 신뢰할 수 있는 비즈니스 도메인에서 비정상 호출이 발생한다. 이는 SaaS 간 신뢰 연동을 사용하는 현대 업무 환경 전반에 대한 제3자 위험 관리의 필요성을 제기한다.

대응 및 위협 헌팅 가이드

Graph API 호출 로깅 및 비정상 캘린더 이벤트 탐지 룰

가장 우선적인 조치는 Microsoft 365 통합 감사 로그에서 Graph API 활동을 Audit-General 및 Audit-Exchange 범주로 활성화하고, 90일 이상 보존하도록 설정하는 것이다. 헌팅 쿼리 예시는 다음과 같다.

• 동일 사용자 또는 동일 토큰에서 짧은 시간 내 /events 조회와 첨부파일 업로드가 반복되는 패턴
• 2050년 이후 또는 2000년 이전 같은 비현실적인 시작/종료 시각을 가진 이벤트 생성
• 첨부파일 크기가 평균 대비 비정상적으로 큰 캘린더 이벤트
• 장기 미사용 사용자 또는 서비스 계정의 캘린더 쓰기 행위

조건부 액세스 및 앱 권한 강화 방안

Graph API 호출 빈도와 대상 리소스에 기반한 조건부 액세스 정책을 적용해야 한다. 예를 들어 비정상 시각, 비정상 위치에서 발생한 Calendars.ReadWrite, Mail.ReadWrite 같은 민감 권한 호출을 추가 인증 또는 차단 대상으로 분류한다. 또한 OAuth 애플리케이션 동의 시 사용자별, 권한별로 검증을 수행하고, 광범위한 Graph 권한을 가진 레거시 앱 토큰을 정기적으로 정리해야 한다.

침해 가정 시 포렌식 체크리스트

침해가 의심되는 경우 다음 항목을 점검한다.

1. 피해 사용자 사서함의 2030년 이후 캘린더 이벤트 목록 전체 검토 및 첨부파일 해시 분석
2. Microsoft 365 통합 감사 로그, Azure AD 로그, Graph API 활동 로그의 90일 이상 상관 분석
3. 토큰 발급 이력의 비정상 위치, 비정상 디바이스 등록 여부 확인
4. OAuth 애플리케이션 권한 목록에서 광범위 Graph 권한 보유 앱 제거 및 토큰 회전
5. 동일 테넌트 내 비정상 캘린더 쓰기 패턴을 보이는 사용자 식별 및 격리

HollowGraph는 클라우드 협업 도구가 곧 공격 인프라가 될 수 있음을 현실화한 사례다. Living-off-Trusted-Services 패턴은 향후 AI 기반 워크플로우와 외부 SaaS 연동 영역에서도 유사한 변형으로 나타날 가능성이 높다. 따라서 M365를 사용하는 조직은 Graph API 가시성 확보를 단기 과제로, SaaS 신뢰 경계 전반의 위험 모델 재정립을 중장기 과제로 설정해야 할 것으로 분석된다.

참고 자료: Bleeping Computer 원문, The Hacker News 보도