Cyberaanvallers hebben een nieuwe manier gevonden om hun communicatie te verbergen in ogenschijnlijk normaal Microsoft 365-verkeer. De door securityfirma Group-IB ontdekte malware HOLLOWGRAPH gebruikt agenda-afspraken in Microsoft 365 als kanaal voor commando’s en het wegsluizen van bestanden. Voor OT-securityspecialisten is de ontdekking relevant, omdat veel industriële organisaties Microsoft 365 en Entra ID inmiddels gebruiken voor zowel kantoorautomatisering als toegang tot beheeromgevingen, cloudplatforms en systemen die met de productieomgeving zijn verbonden.
HOLLOWGRAPH is geen malware die rechtstreeks contact zoekt met een opvallende command-and-controlserver. In plaats daarvan maakt de software gebruik van de Microsoft Graph API, de programmeerinterface waarmee applicaties onder meer toegang krijgen tot e-mail, agenda’s, gebruikersgegevens en bestanden binnen Microsoft 365.
De aanvallers misbruiken daarvoor een gecompromitteerd Microsoft 365-account. De agenda van dat account wordt vervolgens gebruikt als digitale brievenbus waarin malware en aanvaller berichten en bestanden achterlaten.
Group-IB noemt deze werkwijze een tweerichtingskanaal. De aanvaller plaatst opdrachten als bijlage bij een agenda-afspraak. De malware zoekt die afspraak op, downloadt de bijlage en voert de ontvangen instructie uit. Voor het terugsturen van gestolen bestanden maakt de malware zelf nieuwe agenda-afspraken aan, waaraan de versleutelde gegevens als bestand worden toegevoegd.
Afspraken gepland voor 2050
Om te voorkomen dat de eigenaar van het misbruikte Microsoft 365-account de vreemde afspraken direct opmerkt, worden de agenda-items ver in de toekomst geplaatst. De onderzochte variant gebruikt hiervoor steeds 13 mei 2050.
Bij het ontvangen van opdrachten zoekt HOLLOWGRAPH naar afspraken binnen een vast tijdvak op die datum. De onderwerpen van de afspraken bevatten herkenbare patronen, zoals “Event ID”, gevolgd door een korte taakcode. Gestolen gegevens worden verdeeld over bijlagen met namen als File1.txt en File2.txt. Daarna wijzigt de malware het onderwerp van de afspraak in een code die door de aanvaller kan worden herkend.
De gegevens in de bijlagen zijn niet leesbaar opgeslagen. HOLLOWGRAPH gebruikt een combinatie van RSA-versleuteling en AES-256-GCM. Voor opdrachten van de aanvaller en gegevens die naar de aanvaller worden gestuurd, worden afzonderlijke cryptografische sleutels gebruikt. Daardoor zijn de twee communicatierichtingen van elkaar gescheiden.
Voor netwerkbeveiliging is vooral belangrijk dat deze communicatie grotendeels plaatsvindt via legitieme Microsoft-infrastructuur. Een firewall of intrusion detection-systeem ziet verbindingen met diensten die binnen veel organisaties dagelijks worden gebruikt. Alleen controleren op verkeer naar onbekende IP-adressen of verdachte domeinen is daardoor onvoldoende.
DNS als reservekanaal
Naast Microsoft Graph gebruikt HOLLOWGRAPH DNS-tunneling. Dat kanaal dient niet voor het versturen van de gestolen bestanden, maar voor het vernieuwen van de inloggegevens waarmee de malware toegang krijgt tot Microsoft 365.
Via speciaal opgebouwde DNS-verzoeken haalt de malware onder meer een Entra ID-tenant-ID, client-ID, client secret en mailboxadres op. De communicatie verloopt via IPv6-AAAA-records en een door de aanvaller beheerd domein. De ontvangen gegevens worden lokaal opgeslagen in een bestand met de naam logAzure.txt, dat eruit moet zien als een normaal logbestand.
Hiermee kan de aanvaller de cloudreferenties op afstand vervangen wanneer een eerder gebruikte sleutel wordt ingetrokken, verloopt of wordt ontdekt. Het hoofdcommunicatiekanaal via Microsoft 365 kan daardoor opnieuw worden geactiveerd zonder dat de malware zelf hoeft te worden vervangen.
Relevantie voor industriële organisaties
Hoewel Group-IB vooralsnog slechts twaalf geïnfecteerde systemen heeft geïdentificeerd, gaat het volgens de onderzoekers waarschijnlijk om een gerichte spionagecampagne. Drie systemen communiceerden tijdens de onderzoeksperiode actief met de aanvaller. De waargenomen slachtoffers en infrastructuur wijzen voornamelijk op Israëlische doelwitten.
De eerste communicatie werd op 3 juni 2026 gezien. De meest recente activiteit in het onderzoek dateert van 9 juli 2026. Group-IB koppelt de malware met hoge zekerheid aan het modulaire Cavern-backdoorframework. Er zijn daarnaast technische overeenkomsten met activiteiten die eerder zijn geassocieerd met de Iraanse dreigingsgroep Lyceum, maar die mogelijke koppeling heeft volgens de onderzoekers slechts een lage zekerheid.
Voor industriële organisaties is niet alleen de huidige slachtofferselectie van belang. De techniek laat vooral zien hoe aanvallers vertrouwde clouddiensten kunnen gebruiken om traditionele netwerkdetectie te omzeilen.
In veel productiebedrijven bevindt Microsoft 365 zich formeel in het IT-domein. Tegelijkertijd gebruiken engineers, externe onderhoudspartijen en systeemintegratoren dezelfde accounts voor toegang tot VPN-verbindingen, remote-desktopomgevingen, documentatiesystemen en beheerplatforms. Ook worden Entra ID-identiteiten steeds vaker gekoppeld aan industriële cloudapplicaties, onderhoudsportalen en centrale dashboards.
Een gecompromitteerde cloudidentiteit hoeft daarom niet direct toegang tot een PLC of DCS op te leveren om toch een risico voor de productie te vormen. Vanuit een mailbox, agenda of SharePoint-omgeving kunnen aanvallers netwerkdiagrammen, configuratiebestanden, onderhoudsplanningen, leveranciersgegevens en procedures verzamelen. Die informatie kan later worden gebruikt om gerichter toegang tot de OT-omgeving te verkrijgen.
Daarnaast kan een besmet engineeringwerkstation dat zowel Microsoft 365 als industriële beheersoftware gebruikt, fungeren als brug tussen de cloudomgeving en het productienetwerk.
Alleen netwerksegmentatie is niet voldoende
HOLLOWGRAPH onderstreept dat segmentatie tussen IT en OT noodzakelijk blijft, maar niet alle aanvalsroutes afdekt. Wanneer dezelfde identiteit, laptop of beheeromgeving aan beide kanten wordt gebruikt, ontstaat een logische verbinding die niet zichtbaar is in een traditioneel netwerkdiagram.
OT-securityteams zullen daarom ook inzicht moeten krijgen in cloudidentiteiten en applicatierechten. Daarbij gaat het onder meer om applicaties die via OAuth2 toegang hebben tot Microsoft Graph, het gebruik van client secrets en ongebruikelijke activiteiten binnen mailboxen en agenda’s.
Group-IB adviseert organisaties specifiek te controleren op agenda-afspraken die ver in de toekomst zijn gepland, afspraken met uitsluitend een GUID als onderwerp en onderwerpen met patronen als “Event ID” of “Boss” gevolgd door een identificatiecode. Ook het geautomatiseerd uploaden van tekstbijlagen naar agenda-items kan een aanwijzing zijn.
Daarnaast moeten organisaties Microsoft Graph-activiteiten correleren met endpoint- en DNS-telemetrie. Een systeem dat zonder duidelijke zakelijke reden agenda-afspraken aanmaakt, bestanden uploadt en tegelijkertijd opvallende aantallen IPv6-DNS-verzoeken uitvoert, verdient nader onderzoek.
Ook is het verstandig om applicaties die met client credentials werken streng te beperken en te controleren. Nieuwe client secrets, gewijzigde machtigingen en aanmeldingen vanaf afwijkende systemen moeten niet alleen door het IT-securityteam worden beoordeeld, maar ook in de context van gebruikers die toegang hebben tot industriële systemen.
HOLLOWGRAPH laat daarmee zien dat het command-and-controlverkeer van een aanval niet langer noodzakelijk buiten de organisatie hoeft plaats te vinden. Het kan verborgen zitten in dezelfde Microsoft 365-omgeving waarin engineers hun vergaderingen plannen, onderhoudsrapporten delen en met leveranciers samenwerken. Voor OT-security betekent dit dat bescherming van de productieomgeving steeds nadrukkelijker begint bij inzicht in cloudidentiteiten, applicaties en vertrouwde digitale diensten.