HollowGraph: Neue Malware nutzt Microsoft-365-Kalender als Kommandozentrale
Veröffentlicht am: 21.07.2026 um 16:34 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben einen neuartigen Schädling identifiziert, der Microsoft-365-Kalendereinträge als Kommandozentrale missbraucht. Die als HollowGraph getaufte Malware nutzt legitime Cloud-Dienste, um Daten aus israelischen Organisationen zu stehlen. Das berichtet die Sicherheitsfirma Group-IB.
Kalender als versteckter Kanal
Die Funktionsweise ist raffiniert: HollowGraph kommuniziert über die Microsoft-Graph-Schnittstelle mit infizierten Systemen – und zwar durch scheinbar harmlose Termineinträge. Die Angreifer verstecken ihre Anweisungen und gestohlene Daten in Termindetails und verschlüsselten Anhängen. Um einer Entdeckung zu entgehen, werden die Einträge weit in der Zukunft datiert – konkret auf den 13. Mai 2050.
Die Malware beherrscht zwei Hauptfunktionen: Sie kann Befehle empfangen und Daten vom befallenen Rechner versenden. Für die Authentifizierung nutzt sie DNS-Tunneling über eine bestimmte Domain, um dauerhaften Zugriff auf die kompromittierte Microsoft-365-Umgebung zu behalten. Insgesamt identifizierten die Forscher zwölf infizierte Systeme, von denen drei zwischen dem 3. Juni und 9. Juli 2026 noch aktiv waren.
Hinter der Kampagne vermuten Experten die Gruppe Cavern Manticore, die mit dem sogenannten Cavern-Framework arbeitet. Mit geringerer Sicherheit wird auch eine Verbindung zur iranischen Hackergruppe Lyceum gezogen.
Neue Methoden zur Umgehung von Sicherheitstools
Immer mehr Unternehmen werden Opfer von Cyberangriffen durch solch raffinierte Methoden – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Experten-Checkliste zur Cyber-Security jetzt kostenlos sichern
Parallel zu HollowGraph beobachten Sicherheitsfirmen einen Anstieg ausgeklügelter Methoden, um Endpoint-Detection-Systeme (EDR) auszutricksen. Bitdefender hat eine Technik offengelegt, die Windows-Bind-Links missbraucht. Angreifer mit lokalen Administratorrechten können damit Dateipfade umleiten und Sicherheitstools wie EDR, AMSI, AppLocker und Sysmon förmlich blenden.
Die Methode existiert in drei Varianten – File-Binding, Process-Binding und Silo-Binding – und erlaubt es Angreifern, ihre Aktivitäten auf modernen Windows-Systemen zu verstecken, indem sie den Speicherort von ausführbaren Dateien fälschen.
Kryptierungsdienste als Treiber der Bedrohung
Die Verbreitung solcher Schadsoftware wird zunehmend durch kommerzielle „Crypter-as-a-Service"-Plattformen erleichtert. Ein Dienst namens Cruciferra ist seit Herbst 2025 auf Cybercrime-Foren aktiv. Für monatliche Abonnementgebühren zwischen 450 und 2.000 US-Dollar (etwa 410 bis 1.830 Euro) bieten die Betreiber an, Sicherheitssoftware zu deaktivieren und Fernzugriffs-Trojaner wie AsyncRAT, XWorm und Remcos einzuschleusen.
Neue KI-Gesetze und technisch immer versiertere Cyberrisiken stellen Firmen vor große Herausforderungen: Was kommt wirklich auf Ihr Unternehmen zu? Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Report zu neuen Bedrohungen anfordern
Aktuelle Kampagnen mit Cruciferra zielen auf den Finanz-, Gesundheits- und Regierungssektor ab. Die Angreifer locken ihre Opfer mit Steuerdokumenten oder Sozialversicherungs-Benachrichtigungen.
Die Bedrohungslage im Sommer 2026 wird zusätzlich durch die Ausnutzung kritischer Sicherheitslücken verschärft. Zero-Day-Schwachstellen in SonicWall-SMA1000-Geräten (CVE-2026-15409 und CVE-2026-15410) wurden ab Ende Juni ausgenutzt, bevor am 14. Juli ein Patch erschien. Auch eine Schwachstelle in der ServiceNow-AI-Plattform (CVE-2026-6875) wird seit Juli aktiv angegriffen – betroffene Unternehmen müssen dringend handeln.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
