Neue HollowGraph-Malware nutzt Microsoft Graph für verdeckte Angriffe auf Microsoft 365-Konten

Wie BleepingComputer berichtet (https://www.bleepingcomputer.com/news/security/new-hollowgraph-malware-uses-microsoft-graph-for-stealthy-c2-comms/), hat eine neue Schadsoftware namens HollowGraph eine ungewöhnliche Methode entwickelt, um Angriffe auf Microsoft 365-Konten durchzuführen. Die Malware nutzt dabei die Kalenderfunktion in kompromittierten Microsoft 365-Mailboxen als verdeckten Kanal für Command-and-Control-Kommunikation (C2).

Wie HollowGraph funktioniert

Die Malware infiltriert zunächst ein Microsoft 365-Konto und verwendet anschließend den Microsoft Graph API-Zugriff, um Kalenderereignisse zu erstellen, zu lesen oder zu modifizieren. Über diese Kalendertermine empfängt die Schadsoftware Befehle von den Angreifern und kann gleichzeitig gestohlene Daten in Form von Termindetails zurücksenden. Diese Methode erlaubt es HollowGraph, sich unauffällig im Datenverkehr zu bewegen, da Kalenderzugriffe in Unternehmensnetzwerken oft als harmlos eingestuft werden.

Warum diese Technik besonders gefährlich ist

Die Nutzung von Microsoft Graph als C2-Kanal ist eine innovative und schwer zu entdeckende Technik. Da Microsoft Graph eine offizielle Schnittstelle für den Zugriff auf Microsoft 365-Dienste ist, fällt der Datenverkehr kaum auf. Zudem umgehen Angreifer so viele traditionelle Sicherheitsmechanismen, die auf das Erkennen von verdächtigem Netzwerkverkehr ausgelegt sind. Die Verwendung von Kalenderereignissen als Kommunikationsmedium ist zudem unüblich und erschwert die Analyse und Erkennung durch Sicherheitslösungen. Unternehmen, die Microsoft 365 einsetzen, sind daher besonders gefährdet, da die Malware legitime Funktionen missbraucht.

Auswirkungen auf Unternehmen und Nutzer Unternehmen, die Microsoft 365 nutzen, sollten sich der neuen Bedrohung bewusst sein. HollowGraph kann nicht nur sensible Daten exfiltrieren, sondern auch die Kontrolle über Benutzerkonten übernehmen und so weitere Angriffe ermöglichen. Die Tarnung der Kommunikation erschwert die schnelle Identifikation und Eindämmung der Infektion.

Empfehlungen zur Abwehr Experten raten dazu, die Nutzung von Microsoft Graph APIs genau zu überwachen und ungewöhnliche Aktivitäten bei Kalenderzugriffen zu analysieren. Zudem sollten Unternehmen ihre Sicherheitsrichtlinien für Microsoft 365 regelmäßig überprüfen und auf dem neuesten Stand halten. Multi-Faktor-Authentifizierung (MFA) und eine strenge Zugriffskontrolle können das Risiko einer Kompromittierung reduzieren. Darüber hinaus ist der Einsatz von spezialisierten Sicherheitslösungen, die auf Verhaltensanalysen und Anomalieerkennung setzen, sinnvoll, um solche neuartigen Angriffe frühzeitig zu erkennen.

Fazit

Die HollowGraph-Malware zeigt, wie Angreifer zunehmend legitime Cloud-Dienste für ihre Zwecke missbrauchen. Die Integration von Sicherheitsmechanismen in Cloud-Umgebungen und die Sensibilisierung der IT-Verantwortlichen sind entscheidend, um solche Bedrohungen abzuwehren und den Schutz von Unternehmensdaten zu gewährleisten.