Laut dem Bericht von Group-IB authentifiziert sich HollowGraph mit fest im Code hinterlegten Angaben über ein kompromittiertes Microsoft-365-Konto an der Microsoft-Graph-API. Die Konfigurationsdatei liegt unter dem Namen „logAzure.txt“ vor, um wie eine gewöhnliche Protokolldatei auszusehen. Sie enthält demnach die Tenant-ID von Microsoft Entra ID, die Anwendungs- beziehungsweise Client-ID, das Client-Secret, die Adresse des Ziel-Postfachs, die Domain für Kommando und Kontrolle sowie zwei RSA-Schlüssel.
Diese beiden kryptografischen Schlüssel dienen dazu, Dateien vor der Übermittlung an den Angreifer zu verschlüsseln und eingehende Aufgaben zu entschlüsseln. Group-IB zufolge setzt der Akteur für die Kommunikation über Microsoft Graph auf ein hybrides Verschlüsselungsschema, das RSA und AES-256-GCM kombiniert. Eingehende und ausgehende Kommunikationskanäle bleiben dabei kryptografisch voneinander getrennt.
Um unauffällig zu bleiben, legt der Angreifer Kalendertermine mit dem Datum 13. Mai 2050 an. Die Titel folgen bestimmten Formaten, während Befehle und ausgeschleuste Daten in Dateien versteckt werden, die diesen Kalendereinträgen angehängt sind. Nach der Analyse von Group-IB unterstützt HollowGraph nur zwei Befehle: Das Modul kann Kalendereinträge mit verschlüsselten gestohlenen Dateien erstellen und nach neuen Einträgen suchen, die Anweisungen des Angreifers enthalten.
Die Forscher beschreiben den Kalender des Postfachs als „verdecktes totes Briefkastenfach“. HollowGraph ruft seine Befehle aus Terminen ab, die in einem festen einstündigen Zeitfenster zwischen 22:00 und 23:00 Uhr UTC am 13. Mai 2050 eingeplant sind.
Neben diesem verschlüsselten Kanal verfügt HollowGraph über einen zweiten, unverschlüsselten Kommunikationsweg per DNS-Tunneling. Darüber bezieht die Malware neue Microsoft-Entra-ID-Daten — also tenantId, clientId, clientSecret und das Postfach —, um sich erneut an Microsoft Graph anzumelden. Die Werte werden über IPv6-AAAA-Abfragen an die vom Angreifer kontrollierte Domain cloudlanecdn[.]com abgerufen und anschließend in den als „logAzure.txt“ gespeicherten Konfigurationsdateien aktualisiert.
Wie Group-IB erklärt, liefert jede zurückgegebene IPv6-Adresse mit 16 Byte davon 14 nutzbare Byte für die Nutzlast. Die Malware setzt diese 14-Byte-Blöcke wieder zusammen, dekodiert sie als UTF-8-Text und speichert das Ergebnis im jeweils passenden Konfigurationsfeld.
Group-IB bescheinigt HollowGraph einen hohen technischen Reifegrad. Der Einsatz vertrauenswürdiger Cloud-Infrastruktur für Kommando und Kontrolle, die hybride Verschlüsselung, DNS-Tunneling zur Erneuerung von Zugangsdaten und die sehr selektive Zielauswahl deuteten gemeinsam auf erhebliche technische Fähigkeiten und operative Reife hin.
Für eine belastbare Zuordnung zu einem bekannten Bedrohungsakteur reichen die vorliegenden Belege laut Group-IB nicht aus. Die Analyse habe jedoch mehrere technische Ähnlichkeiten mit dem iranisch verbundenen Akteur Lyceum ergeben. Mit hoher Sicherheit sehen die Forscher aber eine Verbindung zum Cavern-Framework.
Organisationen sollten nach Empfehlung von Group-IB Microsoft Graph sowie Microsoft-365-Audit-Protokolle auf verdächtige, anwendungsgetriebene Kalenderaktivitäten überwachen, insbesondere auf Termine weit in der Zukunft sowie ungewöhnliche Betreffzeilen und Anhänge. Außerdem nennen die Forscher die Domain cloudlanecdn[.]com und die Datei „logAzure.txt“ als Indikatoren. Zusätzlich empfehlen sie Conditional Access, die Beschränkung und Prüfung von OAuth-Anwendungen mit Client-Zugangsdaten sowie die Überwachung ausgehender DNS-Anfragen auf Muster von DNS-Tunneling.