HollowGraph : un implant espion détourne Microsoft 365 Calendar comme canal C2 via Graph API

Tue, 21 Jul 2026 00:00:00 +0200

📅 Source : Suriq.io, publié le 21 juillet 2026 par Noam Alum. L’article s’appuie sur l’analyse technique de Group-IB portant sur un implant nommé HollowGraph, détecté sur au moins 12 systèmes entre le 3 juin et le 9 juillet 2026, dont 3 encore actifs au moment de l’analyse.

🎯 Contexte et cible : L’intrusion visait une organisation en Israël et est qualifiée d’espionnage ciblé (non opportuniste). Group-IB relie HollowGraph au framework Cavern, que Check Point associe à un opérateur à nexus iranien suivi sous le nom Cavern Manticore, avec des recoupements vers MuddyWater et Lyceum. Group-IB ne formule pas d’attribution directe à un groupe nommé.

HOLLOWGRAPH : un malware espion abuse Microsoft Graph API via des calendriers M365 pour cibler Israël

Mon, 20 Jul 2026 00:00:00 +0200

🔍 Contexte

Le 20 juillet 2026, l’équipe Threat Intelligence de Group-IB publie une analyse technique détaillée d’un nouveau malware baptisé HOLLOWGRAPH, attribué avec un haut niveau de confiance au framework Cavern. L’opération cible des entités israéliennes dans le cadre d’une campagne d’espionnage ciblée.

🦠 Description du malware

HOLLOWGRAPH est une DLL compilée en .NET NativeAOT qui implémente uniquement deux commandes (get et send). Il exploite l’API Microsoft Graph via une boîte mail Microsoft 365 compromise (domaine .co.il) pour établir un canal C2 dissimulé dans le trafic légitime Microsoft.

HollowGraph on CyberVeille

HollowGraph : un implant espion détourne Microsoft 365 Calendar comme canal C2 via Graph API

HOLLOWGRAPH : un malware espion abuse Microsoft Graph API via des calendriers M365 pour cibler Israël

🔍 Contexte

🦠 Description du malware