HollowGraph-Malware missbraucht Microsoft-365-Kalender für C2-Kommunikation

Die HollowGraph-Malware nutzt kompromittierte Microsoft-365-Postfächer, um mit Angreifern zu kommunizieren und gestohlene Daten zu übermitteln.

Anstatt einen herkömmlichen Command-and-Control-Server zu verwenden, missbraucht die Malware die Kalenderfunktion von Microsoft 365. Sie erstellt und überprüft Kalendereinträge über die Microsoft Graph API. Dadurch können Angreifer Befehle und verschlüsselte Dateien in scheinbar normalem Cloud-Datenverkehr verbergen.

Forscher von Group-IB identifizierten mindestens 12 infizierte Systeme. Drei davon kommunizierten zwischen dem 3. Juni und dem 9. Juli mit dem Bedrohungsakteur. Die Erkenntnisse deuten darauf hin, dass die Kampagne hauptsächlich auf Organisationen in Israel abzielt, möglicherweise zu Spionagezwecken.

HollowGraph nutzt Kalendereinträge als geheimes Ablagesystem

HollowGraph authentifiziert sich bei Microsoft Graph mithilfe der Zugangsdaten eines kompromittierten Microsoft-365-Kontos. Die Konfiguration wird in einer Datei namens logAzure.txt gespeichert, die wie eine harmlose Protokolldatei aussieht.

Die Datei enthält mehrere wichtige Informationen, darunter die Microsoft Entra ID-Mandanten-ID, die Client-ID der Anwendung, das Client-Geheimnis, die Adresse des Zielpostfachs, die C2-Domain sowie zwei RSA-Schlüssel.

Mit diesen Schlüsseln verschlüsselt die Malware gestohlene Dateien vor dem Hochladen. Außerdem nutzt sie sie, um Anweisungen der Angreifer zu entschlüsseln.

Um einer Entdeckung zu entgehen, erstellt HollowGraph Kalendereinträge mit dem Datum 13. Mai 2050. Befehle und gestohlene Informationen werden in Dateien verborgen, die diesen Einträgen angehängt sind. Anschließend überprüft die Malware täglich ein festgelegtes Zeitfenster zwischen 22:00 und 23:00 Uhr UTC auf neue Anweisungen.

HollowGraph unterstützt zwei Befehle:

GET sucht nach Kalendereinträgen mit Anweisungen der Angreifer und lädt diese herunter, bevor sie entschlüsselt werden.

SEND erstellt einen Kalendereintrag und fügt verschlüsselte gestohlene Daten als Anhang hinzu, die der Angreifer später abrufen kann.

Diese Technik verwandelt den Kalender eines Microsoft-365-Postfachs in ein verdecktes Ablagesystem für den Datenaustausch.

DNS-Tunneling liefert neue Zugangsdaten

Die HollowGraph-Malware nutzt außerdem DNS-Tunneling, um aktualisierte Microsoft-Entra-ID-Zugangsdaten zu erhalten.

Sie fragt IPv6-AAAA-Einträge der von den Angreifern kontrollierten Domain cloudlanecdn[.]com ab. Jede Antwort enthält einen kleinen Datenteil. HollowGraph setzt diese Fragmente zusammen, dekodiert sie und aktualisiert die Informationen in logAzure.txt.

Die aktualisierte Konfiguration kann eine neue Mandanten-ID, Client-ID, ein neues Client-Geheimnis sowie eine neue Postfachadresse enthalten. Dadurch können Angreifer ihren Zugriff aufrechterhalten, selbst wenn die bisherigen Microsoft-Graph-Zugangsdaten ungültig werden.

Laut Group-IB verwendet die Malware ein hybrides Verschlüsselungssystem auf Basis von RSA und AES-256-GCM. Dieses schützt Dateien und Befehle, die über den Microsoft-Graph-Kanal übertragen werden.

Forscher sehen Verbindungen zum Cavern-Framework

Die Forscher gehen mit hoher Wahrscheinlichkeit davon aus, dass HollowGraph mit dem Command-and-Control-Framework Cavern verbunden ist.

Außerdem fanden sie technische Gemeinsamkeiten mit Lyceum, einem mit dem Iran in Verbindung gebrachten Bedrohungsakteur, der bereits früher Angriffe auf Organisationen in Israel durchgeführt haben soll. Die Beweise reichen jedoch nicht aus, um die HollowGraph-Kampagne eindeutig Lyceum zuzuschreiben.

Die Nutzung vertrauenswürdiger Cloud-Dienste, verschlüsselter Kommunikation, DNS-Tunneling und gezielter Angriffe spricht für einen technisch versierten Bedrohungsakteur.

So erkennen Unternehmen die HollowGraph-Malware

Organisationen sollten die Microsoft-365- und Microsoft-Graph-Auditprotokolle auf ungewöhnliche Kalenderaktivitäten überprüfen, die von Anwendungen erstellt wurden.

Insbesondere sollten Sicherheitsteams Kalendereinträge untersuchen, die weit in der Zukunft liegen, verdächtige Betreffzeilen und unerwartete Dateianhänge enthalten. Außerdem sollten sie die Domain cloudlanecdn[.]com sowie die Datei logAzure.txt überwachen.

Darüber hinaus können die Einschränkung von OAuth-Anwendungen mit Client-Anmeldedaten, die Durchsetzung von Conditional-Access-Richtlinien sowie die Überwachung des ausgehenden DNS-Datenverkehrs auf Tunneling-Muster dabei helfen, Aktivitäten der HollowGraph-Malware frühzeitig zu erkennen.