Auf den Punkt: HollowGraph nutzt Microsoft Graph API über das Kalender-Feature für Command-and-Control-Kommunikation und Datenabfluss innerhalb legitimer Microsoft-365-Konten.
Eine neue Malware-Komponente namens HollowGraph missbraucht die Kalender-Funktion in kompromittierten Microsoft-365-Postfächern als Kommando- und Kontrollkanal, um Angreiferbefehle zu empfangen und Daten abzuleiten.
Die als HollowGraph identifizierte Malware-Komponente wurde entdeckt, die gezielt die Calendar-Funktionalität in bereits kompromittierten Microsoft-365-Mailboxen ausnutzt. Statt externe Server für die Kommunikation zu nutzen, erfolgt der komplette Datenaustausch zwischen Angreifer und Malware über die Microsoft Graph API durch Kalendereinträge — ein Kanal, der in legitimen Unternehmensumgebungen normalerweise verkehrt und daher weniger Aufmerksamkeit erregt.
Für CISOs ist dies relevant, da diese Angriffsweise traditionelle netzwerkbasierte Intrusion-Detection-Systeme umgeht. Die Command-and-Control-Kommunikation findet innerhalb des eigenen Microsoft-365-Mandanten statt, was eine Unterscheidung zwischen legitimem Geschäftsbetrieb und Angriffsverkehr erschwert. Betroffene Organisationen müssen damit rechnen, dass bereits kompromittierte Konten ohne externe Verbindungsspuren ferngesteuert werden.
Zur Detection und Mitigation sollten Organisationen Audit-Logs für ungewöhnliche Kalender-API-Zugriffe überwachen, insbesondere auf Bulkoperationen oder Zugriffe außerhalb normaler Geschäftszeiten. Ebenso empfiehlt sich eine strenge Conditional-Access-Richtlinie für Microsoft Graph-Berechtigungen sowie die Segmentierung von Microsoft-365-Administratorkonten von Standard-Benutzerkonten, um das Kompromittierungsrisiko zu minimieren.
Quelle: www.bleepingcomputer.com · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.