Wie HollowGraph Microsoft Graph und Kalender für verdeckte C2 nutzt

Forschende von Group-IB haben das Spionage-Implantat HollowGraph entdeckt, das den Kalender eines kompromittierten Microsoft 365-Kontos als bidirektionalen Steuerkanal nutzt. Operator-Befehle und gestohlene Dateien werden als Anhänge zu Kalendereinträgen mit dem Datum 2050 über die legitime Microsoft Graph API übertragen. Das Implantat wurde auf mindestens 12 Rechnern gefunden, aktiver Verkehr der Opfer wurde vom 3. Juni bis 9. Juli 2026 beobachtet. Eine Schwachstelle in Microsoft-Produkten liegt hier nicht vor – der Angriff nutzt reguläre API-Funktionalität und kompromittierte Anmeldedaten, sodass Maßnahmen zur Identitätskontrolle und zur Überwachung von OAuth-Anwendungen Priorität haben.

Funktionsweise: Kalender als Versteck

Nach Angaben der Forschenden handelt es sich bei HollowGraph um eine .NET-DLL-Bibliothek mit einem minimalistischen Befehlssatz aus zwei Kommandos – get und send. Das Implantat kontaktiert keine dem Angreifer gehörenden Server, um eine Nutzlast zu beziehen. Stattdessen wird das kompromittierte Postfach zu einem „toten Briefkasten“ für den Austausch in beide Richtungen umfunktioniert.

Um Aufgaben zu beziehen, fragt das Implantat den Kalender nach einem vom Operator angelegten Ereignis mit dem Datum 2050-05-13 ab – weit genug in der Zukunft, damit der Kontoinhaber es bei der normalen Ansicht niemals sieht. Die Anweisungen werden aus einer angehängten Datei ausgelesen. Die Exfiltration läuft spiegelbildlich ab: Die gestohlene Datei wird verschlüsselt, ein neues Ereignis in ferner Zukunft angelegt und die Daten als ein oder mehrere Anhänge hochgeladen.

Der gesamte über den Kalender laufende Verkehr ist mit einem hybriden Verfahren aus RSA + AES-256 geschützt, mit getrennten Schlüsselpaaren für eingehende Aufgaben und ausgehende Daten. Aus Sicht des Netzwerk-Monitorings wirkt die Aktivität wie normale Interaktion mit Microsoft 365 über die Graph API, und Sicherheitsmechanismen, die auf die Erkennung von Verbindungen zu verdächtigen externen Servern ausgelegt sind, schlagen hier nicht an.

Hilfskanal über DNS

Um den Zugriff auf die Graph API aufrechtzuerhalten, verwendet das Implantat einen zweiten, weniger ausgefeilten Kanal. Über DNS-Anfragen an die Domain cloudlanecdn[.]com aktualisiert HollowGraph die Anmeldedaten der Anwendung in Entra ID (Azure AD): Mandanten-ID, Client-ID, Client-Secret und das Zielpostfach. Diese Werte werden aus IPv6-Einträgen des Typs AAAA dekodiert, die vom DNS-Server der Angreifer zurückgegeben werden, und in die Datei logAzure.txt geschrieben, die als gewöhnliche Logdatei getarnt ist. Wie die Forschenden betonen, werden hier explizit Client-Anmeldedaten und keine Zugriffstoken übertragen, und im Unterschied zum Kalenderkanal ist dieser Austausch nicht verschlüsselt.

Attribution: Code identifiziert, Operator nicht

Group-IB bringt HollowGraph mit hoher Sicherheit mit der Codebasis von Cavern in Verbindung, und zwar anhand des übereinstimmenden Befehlssyntax und der inneren Struktur der Aufgaben. Cavern ist ein modularer Remote-Management-Framework, das hat das Unternehmen Check Point dokumentiert und der Gruppierung Cavern Manticore zugeordnet hat, die mutmaßlich mit dem iranischen Ministerium für Geheimdienste und Sicherheit verbunden ist und Überschneidungen mit den bekannten iranischen Gruppen MuddyWater und Lyceum aufweist.

Die Verbindung besteht jedoch zum Code, nicht zu einem konkreten Operator. Group-IB stellt ausdrücklich klar: Auf Grundlage der vorliegenden Daten kann das Unternehmen diese Aktivität keinem der bislang identifizierten Akteure mit hinreichender Sicherheit zuordnen. Das für die Exfiltration kompromittierte Postfach gehört dem Bericht zufolge zu einer israelischen Organisation; die Forschenden werten dies jedoch als Geografie der Opfer und nicht als Grundlage für eine Attribution.

Ausmaß und Charakter der Kampagne

Nach Angaben von Group-IB wurde das Implantat auf mindestens 12 Rechnern entdeckt, von denen nur etwa drei im Beobachtungszeitraum aktiv mit den Angreifern kommunizierten. Die Forschenden interpretieren diese geringe, selektive Spur als Hinweis auf zielgerichtete Spionage und nicht auf opportunistische Cyberkriminalität. Die Technik an sich ist jedoch potenziell weit über den Rahmen dieser konkreten Kampagne hinaus einsetzbar.

Entscheidend ist: Es gibt hier keine Schwachstelle in Microsoft-Software und keinen Patch, der installiert werden könnte. HollowGraph nutzt ein kompromittiertes Konto und die reguläre Funktionalität der Graph API. Genau deshalb ist das Implantat mit Standardmitteln der Netzwerksicherheit nur schwer zu entdecken.

Empfehlungen zur Erkennung und Abwehr

Jagd nach Artefakten im Kalender

Die aussagekräftigsten Kompromittierungsindikatoren finden sich direkt im Kalender. Es sollten Ereignisse mit folgenden Merkmalen gesucht werden:

• Datum weit in der Zukunft, insbesondere 2050-05-13
• Betreff des Ereignisses – ein nackter GUID oder entsprechend den Mustern Event ID: oder Boss{..}ID{..}
• Anhänge mit Namen nach dem Muster File{n}.txt

Kontrolle von Identitäten und OAuth-Anwendungen

• OAuth-Anwendungen mit Client-Anmeldedaten und Zugriff auf Microsoft Graph einschränken und einem Audit unterziehen
• Benachrichtigungen über das Anlegen neuer Client-Secrets in Entra ID konfigurieren
• Richtlinien für bedingten Zugriff, regelmäßige Rotation von Anmeldedaten und Erkennung anomaler Token anwenden

Überwachung der Graph-API- und DNS-Aktivität

• Kalenderänderungen nachverfolgen, die von Anwendungen und nicht von Benutzer:innen vorgenommen werden: Erstellen von Ereignissen, Hochladen von Anhängen, Umbenennen von Betreffzeilen
• Ungewöhnlich häufige DNS-Anfragen des Typs AAAA und lange Subdomains mit hoher Entropie beobachten, die auf eine einzelne Domain gerichtet sind
• Auf Endpunkten prüfen, ob Zugriffe auf die Domain cloudlanecdn[.]com und die Datei logAzure.txt vorkommen – dies ist der schnellste erste Indikator

Der vollständige Indikatorensatz zur Kompromittierung, einschließlich Datei-Hashes, ist im Bericht von Group-IB verfügbar.

Die Nutzung vertrauenswürdiger Cloud-Dienste von Microsoft für verdeckte Steuerkanäle ist kein neues Vorgehen: Zuvor haben Angreifer bereits Outlook-Eingangsfächer, Entwürfe und OneDrive für diese Zwecke eingesetzt. Kalendereinträge im Jahr 2050 sind lediglich ein weiterer Punkt, den Verteidiger bislang nicht zu prüfen brauchten. Angesichts der Tatsache, dass Opferverkehr noch am 9. Juli aufgezeichnet wurde und der Operator der Kampagne weiterhin unbekannt ist, sollten Organisationen, die Microsoft 365 einsetzen, ihre Kalender jetzt sofort auf Ereignisse in ferner Zukunft überprüfen und ein Audit der OAuth-Anwendungen mit Zugriff auf die Graph API durchführen.