Auf den Punkt: HollowGraph verbirgt Spionage-Kommandos in Microsoft-365-Kalendern und nutzt die legitime Graph-API, um Detektionssysteme zu umgehen.
Ein neu entdecktes Spionage-Implantat versteckt Command-and-Control-Instruktionen und gestohlene Dateien in Microsoft-365-Kalenderereignisse mit Daten aus dem Jahr 2050. Die Taktik nutzt die legitime Microsoft Graph API, um Malware-Traffic unauffällig in normalem Cloud-Verkehr zu tarnen.
Group-IB bezeichnete die Malware als HollowGraph und beschrieb ein Versteckmuster, das Operatoranweisungen und exfiltrierte Daten in Kalenderereignissen von Zielorganisationen einbettet. Die Datumsangabe 2050 verschleiert die Events bewusst im Zeitstempel und erschwert forensische Erkennung durch Zeitsortierung.
Der Ansatz nutzt Microsoft Graph API-Aufrufe, um die versteckten Kommandos und Datenanhänge durch den Standard-Cloud-Verkehr zu leiten. Da Microsoft 365 von den meisten Organisationen als legitim eingestuft wird, werden diese Aktivitäten nicht als verdächtig gekennzeichnet. Netzwerk-Detektionen, die auf erkannte Command-Channels abzielen, werden umgangen, weil die Kommunikation innerhalb eines vertrauenswürdigen SaaS-Produkts stattfindet.
Für CISO bedeutet dies eine erhebliche Detektionslücke: Standard-Endpoint-Detection-and-Response (EDR) und Netzwerk-Monitoring erkennen HollowGraph nicht, solange keine spezifische Anomalie-Analyse auf Microsoft-Graph-Nutzungsmuster erfolgt. Der Zugriff auf Kalender-APIs, insbesondere mit ungewöhnlichen Daten oder Anhang-Größen, sollte zur Basis-Baseline gehören.
Eine wirksame Gegenmaßnahme erfordert Conditional Access-Richtlinien in Entra ID, die nur autorisierte Geräte/Nutzer für Kalender-API-Zugriffe freigeben, sowie Audit-Logging auf allen Microsoft-Graph-Operationen. Abweichende oder seltene API-Muster benötigen Anomalie-Detection auf Application-Ebene.
Quelle: thehackernews.com · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.