Nach Darstellung von Group-IB verwendet HollowGraph den Microsoft-365-Kalender nicht nur als Tarnung, sondern als eigentlichen Kommunikationskanal. Über die Microsoft Graph API behandeln die Angreifer den Kalender eines kompromittierten Postfachs als beidseitiges Ablagefach: Befehle werden als Kalendereinträge hinterlegt, Antworten und exfiltrierte Daten wiederum in neuen Terminen mit Dateianhängen abgelegt.

Die Anhänge werden laut Group-IB als Dateien an die Termine gehängt. Um den Postfachinhaber nicht aufmerksam zu machen, datiert die Malware diese Einträge weit in die Zukunft, konkret auf den 13. Mai 2050. Für die Absicherung der Nutzdaten setzt HollowGraph auf eine hybride Verschlüsselung aus RSA und AES.

Zusätzlich hält die Malware einen zweiten Kommunikationsweg vor. Group-IB zufolge nutzt HollowGraph DNS-Tunneling, um seine Konfiguration sowie die für die Anmeldung verwendeten Zugangsdaten für Microsoft Entra ID, früher Azure AD, zu aktualisieren.

Auffällig ist auch, was HollowGraph gerade nicht tut: Die Malware verbindet sich nie mit einem von den Angreifern kontrollierten Server, um weitere Nutzlasten abzurufen. Stattdessen stützt sie sich auf zwei unterstützte Befehle. Mit „send“ erzeugt sie Kalendereinträge mit angehängten Dateien, mit „get“ sucht sie nach von den Operatoren platzierten Terminen und lädt daraus neue Anweisungen herunter.

Die fest einkodierte Konfiguration schreibt HollowGraph beim Start als Datei mit dem Namen logAzure.txt auf die Festplatte. Darin enthalten sind laut Group-IB die Tenant-ID von Microsoft Entra ID, Client-ID und Client-Secret, die Adresse des Ziel-Postfachs, die C&C-Domain sowie zwei RSA-Schlüssel.

Group-IB hat nach eigenen Angaben 12 Opfer von HollowGraph identifiziert. Drei davon standen demnach aktiv mit der Infrastruktur der Angreifer in Verbindung. Die früheste beobachtete Kommunikation datiert auf den 3. Juni, was nach Einschätzung des Unternehmens darauf hindeutet, dass die Malware mindestens seit dem vergangenen Monat in Angriffen eingesetzt wird.

Auch die Zielausrichtung erscheint nach den bisherigen Spuren nicht zufällig. Group-IB verweist auf ein israelisches Postfach, das für die Exfiltration genutzt wurde, sowie auf Malware-Proben, die aus Israel hochgeladen wurden. Diese Indikatoren deuteten eher auf ein gezieltes Interesse an israelischen Einrichtungen hin als auf eine breit angelegte, opportunistische Kompromittierung.

Bei der Einordnung bleibt Group-IB dennoch vorsichtig. Auf Basis von Befehlsformat und Struktur hält das Unternehmen HollowGraph für eine Variante des Cavern-Frameworks. Zugleich schreibt es die Aktivität mit geringer Sicherheit der MOIS-verbundenen OilRig-Untergruppe Lyceum zu. Wörtlich erklärt Group-IB, man könne die Aktivität auf Grundlage der derzeit verfügbaren Belege keinem bereits identifizierten Bedrohungsakteur mit Sicherheit zuordnen. Es gebe zwar mehrere technische Überschneidungen mit dem iranisch geprägten Akteur Lyceum, diese seien aber nicht einzigartig genug, um eine Zuschreibung mit hoher Sicherheit zu tragen.