Outlook-Kalender: CAV3RN versteckt Kontrollkanäle in Terminen für 2050
Veröffentlicht am: 18.10.2026 um 03:45 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten beobachten seit Längerem eine zunehmende Verlagerung von Cyberangriffen auf legitime Unternehmensdienste. Anstatt eigene Serverstrukturen für die Befehlsübermittlung aufzubauen, greifen Angreifer vermehrt auf weit verbreitete Kollaborations- und Produktivitätsplattformen zurück.
Wie Untersuchungen von Kaspersky zur Malware-Komponente AzureCommunication.dll aus dem Projekt CAV3RN verdeutlichen, geraten dabei auch Kalenderfunktionen von Microsoft Outlook in den Fokus, um unbemerkt Kontrollkanäle aufzubauen und Daten abzugreifen.
Kalendereinträge im Jahr 2050 als Kommunikationsversteck
Die Komponente AzureCommunication.dll nutzt die Microsoft Graph API in Kombination mit dem Autorisierungsstandard OAuth 2.0, um mit infiltrierten Systemen zu kommunizieren. Als Rendezvous-Punkt für die Steuerung dienen nach Erkenntnissen von Kaspersky speziell manipulierte Termine im Microsoft-Outlook-Kalender.
Bemerkenswert ist dabei die zeitliche Platzierung: Die Akteure hinterlegen die Einträge für den 13. Mai 2050 im Zeitfenster zwischen 22:00 und 23:00 UTC. Durch die Datierung weit in der Zukunft verringert sich das Risiko, dass betroffene Anwender im regulären Arbeitsalltag auf die verdächtigen Termine aufmerksam werden.
Befehle und exfiltrierte Daten werden nicht im Freitext der Termine übertragen, sondern in Kalenderanhängen abgelegt. Diese Dateianhänge weisen eine maximale Größe von 10 MB auf. Um in den Systemen unauffällig zu wirken, verwenden die Termine unauffällige oder administrativ wirkende Betreffzeilen wie „Event ID:“, „Boss Report ID: 1500“ oder „Boss update ID: 1500“.
Wer sich beruflich mit der Absicherung von Microsoft-Diensten befasst, sollte auch die grundlegenden Einstellungen und versteckten Funktionen seiner Software beherrschen. Ein kostenloser Experten-Ratgeber enthüllt die wichtigsten Konfigurationen und PST-Dateien, die für die Datensicherheit in Outlook entscheidend sind. Wichtige Outlook-Einstellungen und Sicherheits-Tricks jetzt kostenlos entdecken
Zur Absicherung der verdeckten Befehlskette setzen die Angreifer auf eine Kombination kryptografischer Verfahren. Die gesamte Kommunikation über den Command-and-Control-Kanal wird mit einem AES-256-GCM-Schlüssel verschlüsselt, welcher seinerseits über RSA geschützt ist. Dadurch wird eine Entschlüsselung und Analyse des Datenstroms durch zwischengeschaltete Sicherheitslösungen erheblich erschwert.
DNS-Fallback bei Autorisierungsproblemen
Für den Fall, dass der Zugriff über die reguläre Schnittstelle fehlschlägt, haben die Entwickler der Schadsoftware Vorkehrungen getroffen. Kommt es zu einem Fehler beim Abruf oder der Gültigkeit des Graph-Tokens, schaltet die Schadsoftware auf einen alternativen Übertragungsweg um.
In diesem Fall nutzt die Malware DNS-AAAA-Abfragen, um Signale an die Domain cloudlanecdn[.]com zu übermitteln. Die Daten werden dabei in kleine Fragmente von 14 Byte aufgeteilt und über standardisierte Namensauflösungen transportiert. Da DNS-Verkehr in Unternehmensnetzwerken häufig nur lückenhaft überwacht und selten vollständig blockiert wird, sichert dieser Fallback-Mechanismus die Kontrollverbindung selbst bei strengeren API-Restriktionen.
Die Manipulation von Kalenderfunktionen zeigt, wie kreativ Angreifer bei der Umgehung von Sicherheitsvorkehrungen vorgehen. Erfahren Sie in diesem kostenlosen Kurs, wie Sie die Effizienz und Sicherheit Ihrer täglichen E-Mail-Kommunikation mit praxiserprobten Zeitspar-Tricks deutlich steigern können. Gratis Outlook-Spezialkurs für effizientes und sicheres Arbeiten sichern
Ausrichtung auf Ziele im Nahen Osten
Nach Angaben von Kaspersky richtet sich die mit CAV3RN verknüpfte Spionagekampagne vor allem gegen Organisationen in Israel. Das übergeordnete CAV3RN-Ökosystem wird in Sicherheitskreisen mit iranischen Aktivitäten in Verbindung gebracht. Eine eindeutige Zuweisung zu der bekannten Gruppierung OilRig gilt unter Fachleuten jedoch als umstritten.
Der Fall verdeutlicht das wachsende Risiko, das von der Zweckentfremdung legitimer Cloud-Schnittstellen ausgeht. Für Sicherheitsabteilungen reicht es nicht mehr aus, lediglich bekannte bösartige IP-Adressen zu sperren. Vielmehr müssen auch Kalenderaktivitäten, Schnittstellenzugriffe über OAuth und ungewöhnliche Anhangsgrößen auf Anomalien hin überwacht werden.
