Eine neu entdeckte Windows-Schadsoftware verwandelt kompromittierte Microsoft-365-Postfächer in verdeckte Steuerungskanäle. Der eigentliche Skandal ist nicht die Malware selbst, sondern was sie über den blinden Fleck praktisch jeder Cloud-Sicherheitsarchitektur verrät.
Zwölf infizierte Systeme. Zwei Befehle. Kein einziger verdächtiger Server, den eine Firewall blockieren könnte. Der von Group-IB am 20. Juli 2026 veröffentlichte Implant HOLLOWGRAPH ist gemessen an Umfang und Funktionsumfang unspektakulär – und genau deshalb sollten CISOs und IT-Verantwortliche ihn ernst nehmen. Denn er führt vor, dass die gängige Trennlinie zwischen „vertrauenswürdigem Cloud-Verkehr" und „bösartigem C2-Traffic" nicht mehr existiert.
Die Schadsoftware missbraucht keine Schwachstelle. Sie nutzt eine Funktion. Über die Microsoft Graph API greift sie mit gültigen – gestohlenen – Zugangsdaten auf den Kalender eines kompromittierten Microsoft-365-Postfachs zu und behandelt ihn als toten Briefkasten. Die Angreifer hinterlegen Anweisungen als Kalendereinträge; der Implant lädt sie herunter, entschlüsselt sie und legt gestohlene Dateien als Anhänge neuer Termine ab, die die Operatoren später abholen. Der gesamte Datenverkehr läuft über Microsofts eigene Cloud-Infrastruktur. Für ein Netzwerk-Monitoring, das auf verdächtige Zieladressen achtet, sieht das aus wie ganz normale Office-365-Aktivität.
Der Trick mit dem Jahr 2050
Damit die manipulierten Termine dem Postfachinhaber nicht auffallen, datieren die Angreifer sie auf den 13. Mai 2050 – rund 24 Jahre in die Zukunft, weit außerhalb jeder Kalenderansicht, die ein Mensch je öffnet. Der Implant durchsucht gezielt nur dieses eine Zeitfenster (13. Mai 2050, 22:00–23:00 UTC) nach Terminen mit dem Betreff Event ID: und dem zugehörigen Task-Kürzel.
Die technische Umsetzung ist sauber gebaut. HOLLOWGRAPH ist eine mit .NET NativeAOT kompilierte DLL, die genau zwei Kommandos kennt: get holt die Anweisung aus dem Kalender-Dead-Drop und entschlüsselt sie mit dem eingebetteten privaten RSA-Schlüssel. send verschlüsselt die Zieldatei mit dem öffentlichen Schlüssel, legt einen Termin im Jahr 2050 an, lädt die Daten in Blöcken als Anhänge namens File{n}.txt hoch und benennt den Betreff anschließend in ein operator-lesbares Kürzel um (Boss{..}ID{..}).
Die Verschlüsselung ist bewusst robust: ein Hybridverfahren aus RSA-OAEP und AES-256-GCM, mit getrennten Schlüsselpaaren je Richtung. Eingehende Tasking-Daten und ausgehende Exfiltration bleiben kryptografisch voneinander unabhängig – selbst wer einen Kanal kompromittiert, kann den anderen nicht mitlesen.
Der zweite Kanal, den kaum jemand mitdenkt
Ein reiner Graph-Kanal hätte ein Problem: Was passiert, wenn die gestohlenen Zugangsdaten ablaufen oder rotiert werden? HOLLOWGRAPH löst das über einen zweiten, komplett getrennten Kommunikationsweg – DNS-Tunneling.
Der Implant fragt speziell kodierte Subdomains unter der Angreiferdomain cloudlanecdn[.]com über IPv6-AAAA-Records ab. Aus den zurückgelieferten IPv6-Adressen rekonstruiert er jeweils 14 nutzbare Bytes und setzt daraus vier Microsoft-Entra-ID-Felder neu zusammen: Tenant-ID, Client-ID, Client-Secret und die Zieladresse des Postfachs. Die aktualisierten Werte schreibt er in eine lokale Konfigurationsdatei namens logAzure.txt – getarnt als gewöhnliches Log. Dieser DNS-Kanal ist übrigens nicht verschlüsselt; er dient allein dazu, den Graph-Zugang am Leben zu halten.
Damit ist die Architektur vollständig: Der eine Kanal (Graph über Microsoft-Cloud) transportiert Befehle und Daten und verschwindet im legitimen Office-365-Rauschen. Der andere (DNS) sorgt dafür, dass der erste nie den Zugang verliert. Beide umgehen genau die Kontrollpunkte, auf die klassische Perimeter-Verteidigung setzt.
Warum das für deutsche Unternehmen relevant ist – trotz Israel-Bezug
An dieser Stelle ist Präzision wichtig, denn die Berichterstattung verkürzt hier gern. Die bisher beobachtete Kampagne ist eng zugeschnitten: Group-IB identifizierte mindestens zwölf infizierte Systeme, von denen zur Analysezeit nur etwa drei aktiv mit den Angreifern kommunizierten. Das kompromittierte Postfach gehört einer israelischen Organisation, und die Malware-Samples wurden aus Israel hochgeladen. Die erste beobachtete Kommunikation datiert auf den 3. Juni 2026, die letzte auf den 9. Juli 2026.
Wichtig für die Einordnung: Der Israel-Bezug betrifft die Ziele, nicht die Urheber. Group-IB ordnet HOLLOWGRAPH mit hoher Konfidenz dem modularen Cavern-Framework zu und sieht technische Überschneidungen mit der iranisch-affilierten Gruppe Lyceum (einer OilRig-Untergruppe) – diese Verbindung stuft das Unternehmen allerdings ausdrücklich nur mit niedriger Konfidenz ein. Wer den Akteur konkret hinter der Tastatur sitzen sieht, bleibt offen.
Für einen deutschen Entscheider wäre der Fehlschluss also: „Zwölf Opfer in Israel – betrifft uns nicht." Das verkennt den Punkt. HOLLOWGRAPH ist kein Massenphänomen, sondern ein Proof of Concept für eine Technikklasse, die längst wandert. Der Missbrauch vertrauenswürdiger Cloud-Dienste als Steuerungskanal reicht von klassischem HTTPS-Beaconing über Google Docs und Dropbox bis eben zu Microsoft-365-Kalendern. Bereits 2022 nutzte die Gruppe UNC3524 die Graph API mit einer gestohlenen Entra-ID-Anwendung, um Zugang zu halten. Die Methode ist erprobt; HOLLOWGRAPH verfeinert sie nur. Was heute selektiv gegen israelische Ziele läuft, ist morgen das Standardrepertoire gegen jede Organisation mit Microsoft-365-Tenant – und das sind praktisch alle.
Was Ihre Detection-Strategie daraus lernen muss
Die unbequeme Konsequenz: Perimeter-Monitoring, das auf verdächtige Zieladressen und bekannte C2-Server keyt, läuft bei dieser Angriffsklasse strukturell ins Leere. Die Verteidigung muss von der Netzwerkgrenze nach innen wandern – in die Cloud-Audit-Logs und die Identitätsebene. Group-IB nennt konkrete Ansatzpunkte, die sich unmittelbar in Hunting-Regeln übersetzen lassen:
- Graph- und Postfach-Audit-Logs auf anomale Kalenderoperationen prüfen – Terminerstellung, Anhang-Uploads und Betreffänderungen, die von einer Anwendung statt einem Nutzer ausgeführt werden.
- Nach den konkreten Kalender-Artefakten jagen: Termine mit weit in der Zukunft liegendem Datum (13. Mai 2050), Betreffzeilen mit reiner GUID, Muster wie Event ID: oder Boss{..}ID{..}, dazu Anhänge namens File{n}.txt.
- OAuth-Anwendungen mit Client-Credentials restringieren, auditieren und überwachen – insbesondere alarmieren, sobald neue Client-Secrets angelegt werden. Conditional Access, Credential-Rotation und Anomalie-Erkennung für Tokens gehören zwingend auf die Entra-ID-Umgebung.
- DNS-Monitoring auf Tunneling-Muster ausrichten: ungewöhnlich häufige AAAA-Abfragen, lange oder hochentropische Subdomains, ausgehendes DNS über kontrollierte Resolver zwingen und bekannte Infrastruktur sinkholen.
Als konkrete Indikatoren nennt Group-IB die C2-Domain cloudlanecdn[.]com und die Konfigurationsdatei logAzure.txt.
Der übergeordnete Punkt ist unbequemer als jede einzelne Hunting-Regel. Die Cloud-Dienste, denen Ihre Organisation per Default vertraut, sind zum Operationsraum des Angreifers geworden. Solange „aus Microsofts Cloud" mit „vertrauenswürdig" gleichgesetzt wird, bleibt genau dieser Raum unbeleuchtet. HOLLOWGRAPH ist mit zwölf Opfern klein – aber es ist eine sehr präzise Ansage, wo die nächste Angriffswelle ansetzt.