HollowGraph: Neue Malware nutzt Outlook-Kalender als Steuerkanal
Veröffentlicht am: 21.07.2026 um 12:22 Uhr | Redaktion boerse-global.de
HollowGraph nutzt Outlook-Kalender für verdeckte Kommunikation – israelische Ziele im Fokus.
Sicherheitsforscher haben eine neuartige Windows-Schadsoftware entdeckt, die Microsoft 365-Kalender als versteckten Kommunikationskanal missbraucht. Die als HollowGraph getaufte Malware verwandelt legitime Kalendereinträge in eine Steuerungszentrale für Hackerangriffe.
So funktioniert der Angriff
Die Schadsoftware nutzt die Microsoft Graph API, um auf kompromittierte Konten zuzugreifen. Über Kalendereinladungen mit einem Datum im Mai 2050 – terminiert zwischen 22:00 und 23:00 Uhr UTC – werden Befehle an die infizierten Systeme gesendet. Die Kommunikation läuft nach dem „Dead-Drop"-Prinzip: Die Angreifer hinterlegen Anweisungen in Kalendereinträgen, die HollowGraph abruft und ausführt.
Zwei Hauptbefehle steuern den Datenaustausch: „get" und „send". Zum Schutz vor Entdeckung setzt die Malware auf eine hybride Verschlüsselung mit RSA und AES-256-GCM. Die gestohlenen Daten landen als Anhänge in den Kalendereinträgen – getarnt als harmlose Terminplanung.
Verbindung zum Cavern-Framework
Die technische Analyse zeigt Parallelen zu einem breiteren Malware-Ökosystem namens Cavern (auch CAV3RN). Ein zentrales Modul namens AzureCommunication.dll übernimmt die Kommunikation mit Outlook über die Graph API. Entwickelt wurde es in .NET Native AOT – einer Technik, die die Erkennung durch Sicherheitssoftware erschwert.
Wissen Sie, wo Outlook Ihre Daten wirklich speichert – und wie Sie sie vor unbefugten Zugriffen sichern? Ein kostenloser Experten-Ratgeber enthüllt die wichtigsten Einstellungen und Sicherheits-Tricks, die kaum ein Nutzer kennt. Wichtige Outlook-Einstellungen jetzt kostenlos entdecken
Neben der Kalender-Steuerung setzt HollowGraph auf DNS-Tunneling für die Verwaltung von Zugangsdaten. Über die Domain cloudlanecdn[.]com nutzt die Malware IPv6-AAAA-Einträge, um ihre Anmeldeinformationen zu erneuern. Herkömmliche Netzwerküberwachung erkennt solche Aktivitäten kaum.
Wer steckt dahinter?
Die Kampagne zielt nach Erkenntnissen der Sicherheitsfirmen Group-IB und Kaspersky vor allem auf israelische Organisationen. Zwölf infizierte Systeme wurden identifiziert, drei davon waren zwischen dem 3. Juni und 9. Juli 2026 noch aktiv.
Die genaue Identität der Täter bleibt unklar. Einige Forscher sehen technische Ähnlichkeiten zur Gruppe Lyceum, einem mutmaßlich iranischen Hackernetzwerk. Die Zuordnung gilt jedoch als unsicher.
Der Missbrauch von Outlook-Funktionen zeigt, wie raffiniert Cyberkriminelle heute agieren, um Unternehmen zu infiltrieren. Wie Sie Sicherheitslücken proaktiv schließen und Ihre IT-Sicherheit ohne teure Investitionen stärken, erfahren Sie in diesem Gratis-E-Book. Kostenloses E-Book zum Schutz vor Cyberangriffen sichern
Trend zum Missbrauch vertrauenswürdiger Dienste
Der Angriff reiht sich in eine wachsende Zahl von Fällen ein, in denen Hacker auf „Living-off-the-Cloud"-Techniken setzen. Statt eigener Server nutzen sie legitime Cloud-Infrastruktur – denn Verkehr zu Microsoft 365 wird von den meisten Sicherheitssystemen nicht blockiert. Für Unternehmen bedeutet das: Selbst vertrauenswürdige Dienste können zur Einfallspforte werden.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
