Kurzfassung

Eine neu beobachtete Malware mit dem Namen HollowGraph nutzt kompromittierte Microsoft-365-Postfächer und deren Kalenderfunktionen als verdeckten Kommunikationskanal. Nach den vorliegenden Informationen werden darüber Befehle an den Schadcode übermittelt und gestohlene Daten wieder ausgeschleust. Auffällig ist dabei die Nutzung legitimer Microsoft-Graph-API-Aufrufe, wodurch die Aktivität im normalen Cloud-Traffic untergehen kann.

Für Unternehmen im DACH-Raum ist das relevant, weil Microsoft 365 in vielen Organisationen tief in die tägliche Arbeit integriert ist. Angriffe auf Identitäten und Cloud-Konten sind deshalb nicht nur ein technisches, sondern auch ein organisatorisches Risiko. Für Privatpersonen ist das Thema vor allem dann indirekt relevant, wenn private und geschäftliche Konten vermischt oder Zugangsdaten wiederverwendet werden.

Was ist passiert?

Nach den vorliegenden Berichten wurde eine Malware-Komponente identifiziert, die unter dem Namen HollowGraph geführt wird. Sie missbraucht Kalenderfunktionen in bereits übernommenen Microsoft-365-Mailboxen, um mit dem Angreifer zu kommunizieren. Zusätzlich werden offenbar Dateien über Kalenderereignisse transportiert, die mit einem weit in der Zukunft liegenden Datum versehen sind, um sie unauffälliger zu platzieren.

Der Kern des Vorfalls ist damit nicht eine klassische Schadsoftware mit auffälligem externem Serverkontakt, sondern eine Tarnung innerhalb regulärer Cloud-Dienste. Das erschwert Erkennung, forensische Analyse und auch die Abgrenzung zwischen legitimer Nutzung und Missbrauch.

Technische Details

HollowGraph soll Microsoft Graph und die Kalenderfunktion von Microsoft 365 als Command-and-Control-Kanal verwenden. Statt auffälliger Verbindungen zu bekannten Schadservern läuft die Kommunikation über legitime API-Anfragen, die in vielen Umgebungen ohnehin als normal gelten. Dadurch sinkt die Wahrscheinlichkeit, dass Netzwerk- oder Cloud-Sicherheitskontrollen sofort Alarm schlagen.

Nach den verfügbaren Angaben werden über Kalenderereignisse sowohl Operator-Anweisungen als auch exfiltrierte Dateien transportiert. Die Nutzung von Ereignissen mit einem Datum im Jahr 2050 deutet auf einen Tarnmechanismus hin, mit dem Daten in einer Umgebung abgelegt werden, die für menschliche Prüfer und automatisierte Systeme weniger verdächtig wirkt. Konkrete CVE-Kennungen wurden in den vorliegenden Quellen nicht genannt.

Wer ist betroffen?

Direkt betroffen sind Organisationen, deren Microsoft-365-Konten kompromittiert wurden oder deren Identitäts- und Zugriffsmanagement unzureichend abgesichert ist. Besonders gefährdet sind Unternehmen, die Microsoft 365 breit einsetzen und API-basierte Cloud-Kommunikation nur eingeschränkt überwachen.

Für Unternehmen im DACH-Raum ist das vor allem deshalb kritisch, weil Microsoft 365 häufig zentrale Geschäftsprozesse trägt: E-Mail, Kalender, Zusammenarbeit und Dateifreigaben. Wird ein Konto übernommen, kann der Angreifer nicht nur Daten stehlen, sondern auch interne Kommunikation manipulieren und sich in bestehende Workflows einfügen.

Privatpersonen sind seltener direkt Ziel solcher Kampagnen, können aber betroffen sein, wenn sie geschäftliche Konten privat nutzen, schwache Passwörter verwenden oder keine Mehrfaktor-Authentifizierung aktiviert haben. Auch die Wiederverwendung von Passwörtern erhöht das Risiko einer Kontenübernahme.

Empfohlene Maßnahmen

Unternehmen sollten Microsoft-365-Konten konsequent mit Mehrfaktor-Authentifizierung absichern und privilegierte Konten besonders schützen. Ebenso wichtig ist eine Überprüfung von Conditional-Access-Richtlinien, damit verdächtige Anmeldungen und ungewöhnliche Zugriffsmuster schneller blockiert werden können.

Auf technischer Ebene sollten Sicherheitsverantwortliche Microsoft-Graph-Aktivitäten und Kalenderänderungen auf ungewöhnliche Muster hin überwachen, etwa massenhafte Event-Erstellungen, ungewöhnliche Zeitstempel oder unerwartete API-Nutzung. Zusätzlich empfiehlt sich eine Härtung von Identitäten, inklusive der Prüfung kompromittierter Konten, Token-Missbrauch und auffälliger Weiterleitungsregeln.

Für Privatpersonen gilt: starke, einzigartige Passwörter verwenden, Mehrfaktor-Authentifizierung aktivieren und verdächtige Anmeldehinweise ernst nehmen. Wer Microsoft 365 auch privat nutzt, sollte regelmäßig prüfen, ob unbekannte Kalenderereignisse, Weiterleitungen oder verbundene Apps vorhanden sind.

Einschätzung von CyberSecurity-News.de

HollowGraph zeigt sehr deutlich, wie stark sich moderne Angriffe in legitime Cloud-Dienste verlagern. Das ist für Verteidiger besonders herausfordernd, weil klassische Signaturen und reine Perimeter-Kontrollen an Wirksamkeit verlieren. Die Bedrohung ist nicht nur technisch raffiniert, sondern auch praktisch relevant, da Microsoft 365 in vielen Unternehmen ein zentrales Produktivitätswerkzeug ist.

Für den DACH-Raum bewerten wir das Risiko als hoch für Organisationen mit unzureichender Identitätssicherheit und geringer Sichtbarkeit auf Cloud-Aktivitäten. Der Vorfall unterstreicht, dass E-Mail-Sicherheit heute immer auch Cloud- und API-Sicherheit bedeutet.

Fazit

HollowGraph ist ein weiteres Beispiel dafür, wie Angreifer legitime Unternehmensdienste für verdeckte Kommunikation und Datendiebstahl missbrauchen. Besonders gefährlich ist die Kombination aus kompromittierten Microsoft-365-Konten, unauffälliger API-Nutzung und der Verlagerung von C2-Kommunikation in Kalenderdaten.

Unternehmen sollten den Vorfall als Anlass nehmen, Identitäten, Cloud-Zugriffe und API-Telemetrie stärker zusammenzudenken. Wer Microsoft 365 nur als Kollaborationsplattform betrachtet, übersieht einen zentralen Angriffsvektor moderner Malware.

Quellenangabe

Weiterführende Quelle: BleepingComputer: New HollowGraph malware uses Microsoft Graph for stealthy C2 comms

Zusätzliche Einordnung: Der vorliegende Quellenhinweis zu HollowGraph bei The Hacker News beschreibt ebenfalls den Missbrauch eines Microsoft-365-Kalenders als Kommunikationskanal und die Nutzung von Ereignissen mit Datum 2050.