Group‑IB ආරක්ෂණ සමාගම 2026 ජූලි 20 දින හෙළි කළ නව මැලෙවෙර් එකක්, HollowGraph, Microsoft 365 (M365) පණිවිඩ පෙට්ටියේ කැලන්ඩරය භාවිතා කර රහස් command‑and‑control (C2) සම්බන්ධතාවයක් සැලසේ.
මෙම මැලෙවෙර් .NET DLL එකක් වන අතර, පීඩනයට ලක් වූ මෙන් පණිවිඩ පෙට්ටියේ කැලන්ඩරයට "Event ID: XXXXXXX" ලෙස නාමය දී, 2050 මැයි 13 වැනි දිනයේ (ඉතා දුරස්ථ) අතුරු ලේඛන ඇමිණුම් එක් කරයි. එම ගොනු RSA සහ AES‑256‑GCM යොදා ගෙන එංගලන්තයෙන් කේතගත කර, Graph API හරහා ලබා ගනී. ආකාරය අනුව, මැලෙවෙර් සදහා විශේෂිත පැය 22:00‑23:00 UTC කාලය තුළ මෙම අතුරු ලේඛන පරීක්ෂා කර, නව කාර්යයන් ලබා ගනී. දත්ත ගොනු යැවීමට "Boss{..}ID{..}" නාමයෙන් නව කැලන්ඩර ඇතුළත් කර, එමගින් ආක්රමකයාගේ RSA ප්රසිද්ධ යතුරින් කේතගත කර එවයි.
ඇයි මෙය වැදගත්ද? Graph API හරහා සිදු වන සියලු ගමන් මාර්ග Microsoft නියෝජිත සේවා මගින් පවතින බැවින්, සමාන්ය ආරක්ෂණ උපකරණවලට මෙම ක්රියාකාරකම පෙන්වීම අතිශය අමාරු වේ. ඉන්පසු DNS tunneling, IPv6 AAAA රෙකෝඩ් පරික්ෂා කිරීම වැනි අතිරේක පාරිභෝගික මාර්ගද සමඟ ඒකරාශීව ක්රියා කරයි. වර්තමානයේ අඩුම වශයෙන් 12 පද්ධති ආක්රමණයට ලක් වී, ඉස්රායෙල් සංවිධාන 3 ක් සමඟ සජීවී සම්බන්ධතා තිබුණා.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ බොහෝ ආයතන M365 භාවිතා කරන බැවින්, මෙම තාක්ෂණික තත්ත්වය අපගේ IT වෘත්තීයවලට ඉතා වැදගත්. සිසුන්, සංවර්ධකයන් සහ ව්යාපාරිකයන්ට පහත පරිදි ප්රයෝජන ලැබේ:
- API ආරක්ෂණයේ නව පරිසරයක් පිළිබඳ 실무 අත්දැකීම්.
- Graph API හා OAuth පරිසරයේ අවදානම් හඳුනා ගැනීමේ පුහුණු අවස්ථා.
- DNS tunneling හා IPv6 භාවිතය පිළිබඳ නව ආරක්ෂණ තාක්ෂණයන් ඉගෙනීම.
- කැලන්ඩරය භාවිතා කර C2 සැලැස්වීමේ නව ආකාරය හඳුනා ගනිමින්, ආයතනික ආරක්ෂණ ප්රතිපත්ති සකස් කිරීම.
මෙම තොරතුරු මත පදනම්ව, ශ්රී ලංකාවේ ආරක්ෂණ කණ්ඩායම් M365 audit logs නිරීක්ෂණය, OAuth client‑credential පරිච්ඡේදන පාලනය, හා DNS query විශ්ලේෂණය වැනි පියවර ගන්නා මඟින් පූර්ව පරික්ෂණයක් සිදු කළ යුතුය.
අවසානයේ, Microsoft Graph API හරහා සිදුවන C2 ක්රියාකාරකම් පාලනයට නව මාර්ගයක් ලෙස HollowGraph හඳුන්වා දී ඇත. එය සත්ය ආරක්ෂණ නියෝගයක් බවට පත් කර ගැනීමට, ආයතනික පාලකයින්ට නව සොයා ගැනීම්, නව නීති හා නව උපකරණ අත්යවශ්ය වේ.
