Der zentrale Trick von HollowGraph ist ein bidirektionaler toter Briefkasten im Kalender eines kompromittierten Postfachs. Um Befehle abzurufen, fragt die Malware nach einem von den Angreifern angelegten Termin, der auf den 13.05.2050 datiert ist. Die Anweisungen liest sie aus einer angehängten Datei. Für die Exfiltration geht sie umgekehrt vor: Sie verschlüsselt die gestohlene Datei, erstellt selbst einen Termin weit in der Zukunft und lädt die Daten als einen oder mehrere Anhänge hoch.
Laut Group-IB wird alles, was über den Kalender transportiert wird, mit einer hybriden Kombination aus RSA und AES-256 verschlüsselt. Für eingehende Befehle und ausgehende Daten werden getrennte Schlüsselpaaren verwendet. Auffällig ist auch, was HollowGraph nicht tut: Das Implantat lädt keine Nutzlasten von einem von Angreifern kontrollierten Server nach, sondern nutzt ausschließlich das kompromittierte Postfach als Austauschpunkt.
Einen zweiten, deutlich groberen Kanal verwendet die Malware, um den Zugriff auf Microsoft Graph aufrechtzuerhalten. Über DNS aktualisiert HollowGraph die Entra-ID-Anmeldedaten der verwendeten Anwendung, konkret Tenant-ID, Client-ID, Client-Secret und das Zielpostfach. Diese Werte dekodiert die Schadsoftware aus IPv6-AAAA-Records, die von der Angreifer-Domain cloudlanecdn[.]com zurückgeliefert werden, und schreibt sie anschließend in die Datei logAzure.txt, die wie eine gewöhnliche Protokolldatei wirken soll. Group-IB betont, dass es sich dabei um gespeicherte Client-Zugangsdaten und nicht um Zugriffstoken handelt. Anders als der Kalenderverkehr läuft dieser DNS-Kanal unverschlüsselt.
Group-IB bringt HollowGraph mit hoher Zuversicht mit Cavern in Verbindung und verweist dabei auf gemeinsame Befehlssyntax und übereinstimmende interne Aufgabenstellungen. Cavern ist ein modulares Backdoor-Framework, das Check Point in diesem Monat dokumentiert und einem Akteur zugeschrieben hat, den das Unternehmen Cavern Manticore nennt und mit dem iranischen Ministry of Intelligence and Security verknüpft. Laut Check Point überschneidet sich dieser Cluster mit den bekannten iranischen Gruppen MuddyWater und Lyceum.
Die Zuordnung endet für Group-IB jedoch beim Code, nicht beim Betreiber. Das Unternehmen schreibt: „Auf Grundlage der derzeit verfügbaren Belege können wir diese Aktivitäten keiner zuvor identifizierten Bedrohungsgruppe mit hinreichender Sicherheit zuordnen.“ Vermerkt wird lediglich eine Überschneidung mit geringer Sicherheit zu Lyceum, einer Untergruppe des iranischen Akteurs OilRig. Dass das kompromittierte Exfiltrations-Postfach zu einer israelischen Organisation gehört, wertet Group-IB als Geografie des Opfers, nicht als Attributionshinweis.
Gefunden wurde das Implantat laut Group-IB auf mindestens zwölf Systemen; nur etwa drei davon standen im Analysezeitraum aktiv mit den Angreifern in Verbindung. Der Verkehr der Opfer lief vom 3. Juni bis zum 9. Juli 2026. Gerade diese begrenzte, selektive Spur wertet Group-IB als Hinweis auf gezielte Spionage.
Einen Patch gibt es nicht, weil keine Microsoft-Schwachstelle ausgenutzt wird. Group-IB empfiehlt stattdessen, client-credential-basierte OAuth-Anwendungen mit Graph-Zugriff einzuschränken und zu prüfen sowie auf neu angelegte Client-Secrets zu alarmieren. Genannt werden außerdem Conditional Access, Rotation von Zugangsdaten und die Erkennung auffälliger Tokens. Für die Erkennung rät das Unternehmen zu Audits von Microsoft Graph und Postfachaktivitäten auf anwendungsgetriebene Kalenderänderungen, etwa neu angelegte Termine, hochgeladene Anhänge oder von einer App statt einer Person umbenannte Betreffzeilen. Auch DNS sollte beobachtet werden, insbesondere ungewöhnlich häufige AAAA-Abfragen und lange, hochentropische Subdomains zu einer einzelnen Domain. Als schnelle erste Prüfung nennt Group-IB die Suche nach cloudlanecdn[.]com und der Datei logAzure.txt; weitere Indikatoren einschließlich Dateihashes stehen im Bericht des Unternehmens.