LONDON (IT BOLTWISE) – Eine neue Spionage-Implant ist bekannt geworden: HollowGraph nutzt einen kompromittierten Microsoft-365-Kalender als verdeckten Befehlskanal und versteckt gestohlene Dateien als Anhänge in Ereignissen mit dem Datum 2050. Der Ansatz läuft über legitimen Microsoft-Graph-API-Traffic und tarnt sich damit gegen typische Netzwerkregeln, die an Angreifer-Ziele gekoppelt sind. Zusätzlich hält DNS-basierte Entra-ID-Login-Daten den Zugriff aufrecht – ohne dass das Implant Payloads zu einem fremden Server anfordert. Für Security-Teams wird damit besonders die App-/Identitäts-Überwachung in Microsoft 365 zum zentralen Hebel.
HollowGraph zeigt, wie weit sich Command-and-Control (C2) inzwischen von klassischen „Call-home“-Mustern entfernen kann: Das Implant nutzt einen kompromittierten Microsoft-365-Kalender als beidseitigen Umschlagplatz. Statt Befehle von einer Angreifer-Infrastruktur abzuholen, liest es operator-gesteuerte Anweisungen aus Event-Anhängen, die absichtlich in die Zukunft datiert sind – konkret auf den 13. Mai 2050. Dadurch bleibt die Aktivität visuell und operativ unauffällig: Wer im Kalender nicht gezielt nach diesem Datum sucht, nimmt die Interaktion kaum wahr. Für Security-Verantwortliche ist das eine Verschiebung weg von reinen Netzwerkindikatoren hin zu Identitäts- und App-Auditierung.
Technisch basiert die Implant-Logik auf einer.NET-DLL mit genau zwei Kommandos („get“ und „send“). Das klingt bewusst klein und begrenzt die Angriffsfläche, verhindert aber nicht die geforderte Funktionalität: Für Tasking greift HollowGraph über Microsoft Graph auf einen speziell platzierten Kalendereintrag zu und dekodiert die Instruktionen aus einer angehängten Datei. Exfiltration läuft im Prinzip rückwärts: Das Implant verschlüsselt gestohlene Dateien und erstellt anschließend eigene, ebenfalls weit in der Zukunft liegende Events, um die Daten als Anhänge wieder in Microsoft 365 zu schieben. Wichtiger Punkt: Für Payload-Downloads kontaktiert das Implant keinen attacker-owned Server, sondern bleibt vollständig im Microsoft-Ökosystem.
Die Kryptografie ist dabei als Hybrid-Ansatz ausgelegt: Für die Kommunikation werden hybrid RSA und AES-256 genutzt, wobei getrennte Schlüsselpaare für eingehendes Tasking und ausgehende Daten vorgesehen sind. Diese Trennung reduziert das Risiko, dass ein Kompromittierungspunkt beides sofort „in einem Rutsch“ entschlüsselbar macht, und erschwert zugleich Deep-Packet-Inspection, weil die entscheidenden Inhalte in der Regel bereits auf Applikationsebene verschleiert sind. Als zweite, „unordentlichere“ Komponente ergänzt HollowGraph eine DNS-Seitkanaltechnik: Über DNS-Antworten mit IPv6 AAAA Records werden Entra-ID-Login-Parameter aktualisiert, darunter Tenant-ID, Client-ID, Client-Secret sowie die Zielpostfachinformation. Danach werden diese Werte in eine Konfigurationsdatei wie „logAzure.txt“ geschrieben, die wie Routineprotokollierung wirkt.
Für den Markt zeigt sich hier ein bekanntes Muster – und gleichzeitig ein neues Detail: HollowGraph versteckt C2 in Microsoft-Diensten, etwa indem es Microsoft Graph API Traffic als Transport missbraucht. Das ist nicht der erste Versuch, legitime Cloud-Workflows zu kapern; zuvor waren bereits Outlook-Umgebungen, Draft-Ordner oder OneDrive als „versteckte Leitplanken“ im Spiel. Gleichzeitig ist die Wahl eines weit entfernten Datums eine clevere operative Maßnahme gegen den menschlichen Kalenderblick. Laut der Sicherheitsanalyse von Group-IB wurde das Implant auf mindestens 12 Maschinen gefunden; nur rund drei Systeme sprachen im Analysezeitraum aktiv zurück. Diese selektive Auslastung wirkt wie gezielter Spionagebetrieb statt breit streuender Opportunitätskampagne.
Auch die Attribution folgt einem ähnlichen Dualismus aus Code und Szene: Group-IB verknüpft HollowGraph mit dem Cavern-Framework mit hoher Verlässlichkeit, unter anderem über gemeinsame Command-Syntax und passende interne Tasking-Mechaniken. Cavern wird wiederum in einem Bericht in Zusammenhang mit einem Iranian Ministry of Intelligence and Security-Umfeld gebracht, das für den Cluster „Cavern Manticore“ steht und in Analysen Überschneidungen mit Gruppen wie MuddyWater und Lyceum zeigt. Bei HollowGraph nennt Group-IB die verantwortlichen Operatoren allerdings nicht eindeutig: Es gibt nur eine niedrig priorisierte Überlappung mit Lyceum, während eine belastbare Zuordnung zu einem bereits benannten Akteur aktuell nicht möglich sei. Für Unternehmen bedeutet das: Selbst wenn die Tätergruppe unklar bleibt, sind die technischen Spuren und die notwendigen Gegenmaßnahmen hinreichend konkret.
Aus Verteidigungssicht liegt der Kernhebel nicht in „Patches“, sondern in Kontrollen rund um Identitäten und Anwendungsberechtigungen. Group-IB betont explizit: Es gibt keine Microsoft-Softwarelücke, die gepatcht werden müsste; HollowGraph reitet auf einem kompromittierten Konto und auf der normalen Funktionalität von Microsoft Graph. Das verschiebt den Fokus auf OAuth-Apps, Conditional Access, Credential Rotation und Monitoring für ungewöhnliche Tokenmuster. Praktisch heißt das, dass Microsoft-Graph- und Postfach-Aktivität daraufhin geprüft wird, ob Events per App statt durch Personen entstehen: angelegte Kalenderereignisse, hochgeladene Anhänge oder umbenannte Event-Betreffzeilen, die wie Maschinen-Namensmuster wirken. Branchenkenner empfehlen dabei, die Abgleichkriterien auf far-future Datumsfelder, GUID-ähnliche Betreffstrings und strukturierte Dateinamenmuster (z. B. „File{n}.txt“) auszudehnen.
Für die Incident-Response-Teams ist das Timing besonders relevant: Die beobachtete Victim-Aktivität lief vom 3. Juni bis zum 9. Juli 2026. Damit ist die „2050“-Täuschung zwar dauerhaft im Kalender, die operative Vorbereitung und das wiederkehrende Laden von Tasking-/Exfiltrationsdaten aber tatsächlich aktuell. Ein erster schneller Suchlauf kann laut Report beim Abgleich mit der Domäne „cloudlanecdn[.]com“ und bei der Auffindbarkeit der Konfigurationsdatei „logAzure.txt“ ansetzen; der vollständige Indikatorensatz inklusive Dateihashes steht in der veröffentlichten Auswertung. Künftig ist zu erwarten, dass Angreifer far-future-Trigger stärker modularisieren, sodass nicht nur Kalender, sondern auch andere legitime Containers (z. B. Ticketsysteme oder Freigabelisten) ähnliche Dead-Drop-Logiken übernehmen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HollowGraph missbraucht Microsoft-365-Kalender als C2-Kanal bis 2050" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HollowGraph missbraucht Microsoft-365-Kalender als C2-Kanal bis 2050" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HollowGraph missbraucht Microsoft-365-Kalender als C2-Kanal bis 2050« bei Google Deutschland suchen, bei Bing oder Google News!