HollowGraph: Ein Malware versteckt seinen C2 und seine gestohlenen Daten in Microsoft 365-Ereignissen, die auf das Jahr 2050 datiert sind

Die Agenda als Briefkasten umfunktionieren: HollowGraph nutzt Microsoft 365-Ereignisse - die um 24 Jahre zurückdatiert sind - um Dateien zu exfiltrieren und Befehle zu empfangen, ohne Alarm auszulösen.

Die Fakten

Der Bedrohungsforscher Group-IB, der am 20. Juli 2026 von The Hacker News weitergeleitet wurde, dokumentiert eine Malware-Familie mit dem Namen HollowGraph, deren Besonderheit darin besteht, Microsoft 365-Kalenderereignisse als Kanal für Befehl und Kontrolle und als Exfiltrations-Tresor zu nutzen. Die erstellten Ereignisse tragen sehr ferne Daten - der Artikel erwähnt das Jahr 2050 - um nicht in den üblichen Kalenderansichten (heute, diese Woche, dieser Monat) zu erscheinen.

Group-IB hat den Stamm benannt und die technische Beschreibung des Implantats veröffentlicht; The Hacker News sorgt für die Verbreitung.

Technisch gesehen stützt sich HollowGraph auf die Microsoft Graph API: Es erstellt, liest und ändert Ereignisse eines kompromittierten Kontos. Die Befehle des C2 werden in die Beschreibungs- oder Anhangsfelder der Ereignisse geschrieben; die gestohlenen Daten werden dort neu codiert und anschließend abgelegt. Aus der Sicht eines Netzwerk-Gateways handelt es sich lediglich um legitimen HTTPS-Verkehr zu graph.microsoft.com.

Analyse

Diese Technik ist nicht grundsätzlich neu - andere Familien haben OneDrive, Teams, SharePoint oder Outlook missbraucht - aber der Kalender wurde bisher unterbeobachtet. Zwei Gründe dafür:

• Ereignisse lösen fast keine DLP-Warnungen (Datenverlust) aus, weil es sich dabei von Natur aus um freie Felder handelt.
• Ferne Daten machen sie in den Standard-UI-Ansichten von Outlook und Teams unsichtbar, ohne für Graph unsichtbar zu sein.

Es ist die doppelte Signatur, die man sich merken sollte: Graph-API + ungewöhnlicher Zeitrahmen.

Wer ist betroffen

Jede Microsoft 365-Organisation, bei der ein Benutzerkonto, ein Dienstkonto oder eine registrierte Anwendung (App Registration) kompromittiert ist. Der Wechsel zu HollowGraph erfordert keine Admin-Rechte: Die Standard-Kalenderberechtigungen reichen aus.

Was jetzt zu tun ist

1. In Graph-Audit-Protokollen suchen: Anfragen des Typs Event.ReadWrite für Ereignisse, deren start.dateTime das Jahr 2035 überschreitet. Die Schwelle ist willkürlich, passen Sie sie an Ihre Geschäftsanforderungen an.
2. DLP-Regel: Überprüfen Sie die Event-Beschreibungen auf codierte Payloads (lange Base64-Codierungen, binäre Blöcke, Magic Bytes).
3. App Consent Governance: Überprüfen Sie die Drittanbieter-Apps, die Calendars.ReadWrite angefordert haben; jede App mit dieser Berechtigung, die wenig genutzt wird, verdient eine Entfernungsanfrage.
4. UEBA-Erkennung: Ein Konto, das plötzlich Dutzende von Ereignissen pro Tag erstellt oder das in das Jahr 2050 schreibt, ist ein Signal.

Wichtigste Erkenntnisse

HollowGraph veranschaulicht die Regel, die wir seit Jahren wiederholen: Der C2 versteckt sich dort, wo der Verkehr bereits legitim ist. Nach GitHub, Discord, Telegram und Slack wird der M365-Kalender zu einem weiteren Baustein im Arsenal der Angreifer. Unsere Liste der Erkennungsregeln muss folgen.