Datenklau über Microsoft-365-Kalender
Eine neu entdeckte Schadsoftware zeigt, wie kreativ Angreifer inzwischen vorgehen: Statt eigener Server dient ein gewöhnlicher Microsoft-365-Kalender als Kommandozentrale für Spionageoperationen. Sicherheitsforscher haben die Masche jetzt aufgedeckt und erklären, wie sich Unternehmen davor schützen.
Sicherheitsforscher von Group-IB haben eine neue Schadsoftware namens HOLLOWGRAPH aufgedeckt, die einen ungewöhnlichen Weg geht: Sie tarnt ihre gesamte Kommunikation als ganz normalen Microsoft-365-Verkehr. Statt eigene Server anzusteuern, missbraucht die Malware die Microsoft Graph API und macht den Kalender eines gekaperten Postfachs zu einer Art digitalem Briefkasten für Befehle und gestohlene Daten.
Die Experten ordnen HOLLOWGRAPH mit hoher Sicherheit dem sogenannten Cavern-Framework zu, einem modularen Backdoor-Baukasten. Betroffen war unter anderem ein kompromittiertes Microsoft-365-Konto in Israel, über das die Angreifer ihre Befehle steuerten.
Kalendereinträge als getarntes Kommandozentrum
Technisch gesehen ist HOLLOWGRAPH erstaunlich schlank aufgebaut: Die Schadsoftware beherrscht nur zwei Befehle, „get“ und „send“, wickelt damit aber die komplette Kommunikation über vertrauenswürdige Microsoft-Cloud-Infrastruktur ab. Die Angreifer legen ihre Anweisungen als Kalendertermine an, die Malware liest sie aus und lädt im Gegenzug gestohlene Dateien als verschlüsselte Anhänge in eigens erstellte Termine hoch.
Damit der Postfachbesitzer nichts bemerkt, datieren die Angreifer sämtliche Termine weit in die Zukunft, konkret auf den 13. Mai 2050. Alle übertragenen Daten sind zusätzlich mit einer Kombination aus RSA- und AES-Verschlüsselung gesichert, wobei für ein- und ausgehende Kommunikation jeweils getrennte Schlüsselpaare zum Einsatz kommen.
DNS-Tunneling sorgt für frische Zugangsdaten
Neben dem Kalenderkanal nutzt die Malware einen zweiten, separaten Weg, um an ihrem Zugriff auf Microsoft 365 festzuhalten. Über sogenanntes DNS-Tunneling, also versteckte Anfragen an eine von den Angreifern kontrollierte Domain, erneuert HOLLOWGRAPH regelmäßig die Microsoft-Entra-ID-Zugangsdaten, mit denen sie sich authentifiziert.
Die dabei abgefragten IPv6-Adressen codieren die neuen Zugangsdaten byteweise, die Schadsoftware setzt sie anschließend wieder zusammen und speichert sie in einer lokalen Konfigurationsdatei namens „logAzure.txt“. Diese Datei ist bewusst so benannt, dass sie wie eine gewöhnliche Protokolldatei wirkt und im System kaum auffällt.
Gezielte Angriffe mit Fokus auf Israel
Group-IB identifizierte insgesamt zwölf Systeme, auf denen die Schadsoftware nachgewiesen wurde, aktiv kommunizierten davon jedoch nur etwa drei mit der Angreiferinfrastruktur. Diese geringe Zahl aktiver Verbindungen spricht nach Einschätzung der Analysten für eine gezielte Kampagne statt für breit gestreute, opportunistische Angriffe.
Die Spuren deuten dabei klar in eine Richtung: Sowohl das für die Kommunikation missbrauchte Postfach als auch mehrere hochgeladene Malware-Proben stammen aus Israel. Beobachtet wurde die Aktivität den Angaben zufolge zwischen Anfang Juni und Anfang Juli 2026.
Bei der Frage nach den Verantwortlichen bleiben die Forscher vorsichtig. Eine sichere Zuordnung zu einer bekannten Gruppe ist bislang nicht möglich, allerdings zeigen sich technische Überschneidungen mit der iranisch verorteten Gruppe Lyceum, weshalb Group-IB einen möglichen Zusammenhang mit geringer Zuversicht in den Raum stellt.
Für Unternehmen empfiehlt Group-IB vor allem eine genauere Überwachung der Microsoft-Graph-API-Aktivitäten sowie der Kalenderfunktionen in Microsoft 365, etwa auf ungewöhnliche, von Anwendungen statt von Nutzern ausgelöste Termineinträge. Ergänzend raten die Analysten zu strikterer Kontrolle von OAuth2-Anwendungen und zu einer DNS-Überwachung, die gezielt nach Tunneling-Mustern wie ungewöhnlich häufigen IPv6-Abfragen sucht.
Wie sich Admins schützen und Angriffe erkennen
Group-IB gibt IT-Verantwortlichen mehrere konkrete Ansatzpunkte an die Hand, um HOLLOWGRAPH aufzuspüren und sich künftig gegen ähnliche Angriffe zu wappnen. Im Zentrum steht dabei eine genauere Beobachtung der eigenen Microsoft-365-Umgebung, denn klassische Perimeter-Schutzmaßnahmen laufen bei dieser Art von Angriff weitgehend ins Leere.
Konkret raten die Analysten dazu, gezielt nach Spuren der Schadsoftware zu suchen, etwa nach der C2-Domain „cloudlanecdn[.]com“ oder der verdächtigen Konfigurationsdatei "logAzure.txt" auf betroffenen Systemen. Auch die Kalenderfunktion selbst verrät die Angreifer: Auffällig sind Termine, die auf den 13. Mai 2050 datiert sind, Betreffzeilen, die nur aus einer GUID bestehen, sowie Einträge mit Bezeichnungen wie „Event ID:“ oder "Boss{..}ID{..}" samt angehängten Dateien im Format „File{n}.txt“.
Wichtig ist zudem ein genauer Blick auf die Microsoft Graph API und die Postfach-Protokolle. Admins sollten insbesondere Kalenderaktionen überwachen, die nicht von einem Nutzer, sondern von einer Anwendung ausgelöst wurden, etwa das automatisierte Anlegen von Terminen, Hochladen von Anhängen oder Ändern von Betreffzeilen.
Auf der Identitäts- und Zugriffsebene empfiehlt Group-IB, OAuth2-Anwendungen mit Client-Credentials-Flow konsequent einzuschränken und zu überwachen sowie bei der Erstellung neuer Client-Secrets oder Zugangsdaten automatisch Alarm zu schlagen. Ergänzend sollten Unternehmen Conditional-Access-Richtlinien durchsetzen, Zugangsdaten regelmäßig rotieren lassen und ungewöhnliche Token-Aktivitäten in Microsoft 365 und Entra ID erkennen.
Nicht zuletzt raten die Sicherheitsforscher zu einer stärkeren Überwachung des DNS-Verkehrs, um Tunneling-Aktivitäten frühzeitig zu erkennen. Dazu zählt die Suche nach auffällig häufigen AAAA-Anfragen (IPv6) sowie nach ungewöhnlich langen oder kryptisch wirkenden Subdomains, kombiniert mit der Möglichkeit, ausgehenden DNS-Verkehr über kontrollierte Resolver zu filtern und bekannte bösartige Infrastruktur zu sperren.