前言传统网络安全防护的核心逻辑一直是封堵恶意IP、拦截异常端口、查杀恶意文件、阻断高危漏洞利用。绝大多数企业的边界防火墙、EDR、邮件网关、SIEM设备都是基于恶意特征与异常流量行为做检测研判。但HollowGraph恶意软件的出现直接击穿了这套传统防护体系的底层逻辑。这款新型间谍恶意软件不依赖系统漏洞、不生成恶意外联流量、不落地明显恶意文件全程复用微软官方M365合法能力把C2控制通道完全藏进企业日常办公的Outlook日历中。更关键的是攻击者利用2050年远期时间戳隐匿恶意指令普通员工和运维人员几乎不可能主动发现异常。很多企业安全团队的监控盲区就在于此所有人都在盯着邮件钓鱼、终端木马、外网恶意连接却没人关注M365日历事件的创建、修改、附件上传行为。本文从实战角度完整拆解HollowGraph攻击链路、技术原理提供可直接复用的全租户排查脚本、日志检索规则、溯源方法以及适配政企、中小企业的分层加固方案帮企业彻底补齐M365云服务滥用的安全短板。1. 威胁基础概况与攻击背景1.1 核心威胁基础信息本次披露的HollowGraph恶意软件家族由国际安全厂商Group-IB联合The Hacker News、FreeBuf情报平台监测发现属于定向间谍类威胁无对应CVE漏洞编号。该威胁的核心本质不是漏洞攻击而是企业合法云权限的恶意滥用。攻击者不利用Windows系统、M365服务的任何安全漏洞仅通过窃取、劫持企业M365账号或OAuth应用权限调用官方Microsoft Graph API完成所有恶意操作这也是该威胁最难防御的核心原因。目前可监测的攻击目标高度聚焦主要针对以色列能源、军工、政府、科研等核心政企组织核心诉求为长期情报窃取、敏感数据渗漏无勒索、挖矿等牟利行为属于典型的高级持续性威胁APT活动。1.2 传统安全设备失效的核心原因绝大多数企业的安全监控体系对HollowGraph这类攻击完全失效核心问题不在于设备能力不足而在于监控规则的认知盲区。边界防火墙、上网行为管理只会拦截非可信IP、高危端口、恶意域名的外联请求而HollowGraph所有通信都对接微软官方可信服务器流量特征和员工正常办公、管理员运维操作完全一致设备无法区分合法调用和恶意调用。EDR终端防护主要监控本地恶意进程、可疑文件、异常系统调用而HollowGraph依托云API完成指令交互终端无恶意C2连接、无高频异常行为常规终端查杀规则无法命中。邮件安全网关、M365原生防护的监控重心集中在邮件正文、附件、钓鱼链接、发件人信誉几乎所有企业都未开启日历事件的审计与监控能力让日历成为无人监管的“隐秘通信通道”。2. HollowGraph攻击架构与完整链路拆解为清晰还原攻击逻辑本节通过架构图、流程图完整拆解攻击全流程从权限获取、指令下发、终端执行、数据回传、持久化驻留五个维度拆解威胁运行机制。2.1 整体攻击技术架构HollowGraph的整体架构分为攻击者控制端、M365云服务中转层、受害终端层三层完全摒弃传统木马的直连C2架构采用“云服务死信中转”模式所有交互依托M365日历完成。A[攻击者控制端] --|1.调用Graph API| B[Microsoft Graph 官方接口]B --|2.写入2050年恶意日历事件| C[Outlook M365日历中转C2通道]D[HollowGraph恶意程序] --|3.定时轮询Graph API| BD --|4.读取远期日历事件、解密指令| CD --|5.终端执行窃取、探测操作| E[受害企业终端]D --|6.加密回传数据| BB --|7.写入2050年日历事件| CA --|8.读取日历附件、获取窃取数据| CD --|9.本地持久化驻留| F[终端本地配置文件]2.2 完整攻击执行流程G[前期准备:窃取M365账号/OAuth权限] -- H[获取Graph API日历读写Token]H -- I[攻击者创建2050-05-13远期日历事件嵌入加密恶意指令]I -- J[恶意程序定时轮询日历接口]J -- K[下载事件附件、AES解密指令并执行]K -- L[终端采集企业敏感文件、业务数据]L -- M[RSAAES双重加密窃取数据]M -- N[通过Graph API创建新2050年日历事件上传加密数据附件]N -- O[攻击者读取日历附件完成数据渗漏]O -- P[长期循环:持续指令交互、数据窃取]2.3 恶意程序本体细节特征HollowGraph并非独立恶意程序而是隶属于Cavern模块化后门框架的轻量组件专门负责云环境隐蔽通信整体设计极度轻量化、隐蔽化规避各类查杀规则。程序载体为.NET NativeAOT编译的DLL文件攻击者会将其伪装成系统常用组件默认文件名为AzureCommunication.dll贴合Azure云服务组件命名规范降低人工排查概率。该编译方式具备无依赖、难反编译的特点常规杀毒软件的特征匹配检测难以识别。恶意程序仅保留两条核心指令逻辑极致精简的代码结构规避行为查杀get指令负责读取日历中的攻击者下发指令send指令负责上传终端窃取的敏感数据无多余恶意功能不会触发EDR的高危行为告警。本地持久化依托伪装配置文件实现恶意程序会在终端生成logAzure.txt文件伪装成Azure服务运行日志。文件内部存储租户ID、应用Client ID、密钥、RSA/AES-256加密密钥、目标邮箱等核心认证信息保证恶意程序重启后可自动刷新API权限持续维持C2通信能力。为防止单一通道失效程序内置备用通信机制依托IPv6 DNS隧道恶意域名cloudlanecdn[.]com辅助刷新M365访问凭证即便日历API调用异常也能维持权限存续保证长期潜伏。2.4 2050年时间戳的核心隐匿逻辑所有恶意日历事件固定设置为2050年05月13日 22:00-23:00 UTC这个时间戳是攻击者精心设计的隐匿核心完全适配企业用户的使用习惯。普通员工日常使用日历仅查看当日、本周、本月日程运维和安全巡检也只会关注近期异常事件几乎不会翻阅24年后的远期日程。日历事件无过期、无提醒、无弹窗全程静默存在于用户日历列表中人工排查的发现概率无限趋近于零。同时M365日历无默认的远期事件告警规则原生安全机制不会对超长期日历事件做风险标记企业默认的审计日志也不会针对远期事件创建行为做特殊记录双重盲区让恶意指令可以长期潜伏。2.5 Microsoft Graph API滥用核心细节整个攻击链路的核心依托于Graph API的合法权限滥用攻击者无需突破任何安全防护仅需获取基础的日历读写权限即可完成全部操作。攻击前置条件极低仅需通过钓鱼邮件、账号爆破、OAuth应用劫持、凭证泄露等常规方式获取企业任意员工邮箱的Entra ID访问权限即可调用Graph API接口。很多企业为了办公便利给普通员工账号开放了Calendar.ReadWrite.All权限为攻击提供了可乘之机。全程核心API调用行为仅有两类特征极度单一一是调用GET /me/calendar/events定时检索2050年指定日期的日历事件拉取恶意指令二是调用POST /me/calendar/events创建远期日历事件上传加密窃取数据。所有调用均携带合法Token属于微软认证的合法请求无任何异常流量特征。3. 实战化恶意特征自查方法人工快速排查在部署自动化检测脚本和告警规则前安全运维人员可通过以下特征快速人工自查适配应急排查场景快速判断租户是否存在被入侵痕迹。所有特征均为现场可落地、可直接核验的有效指标无模糊判定标准。3.1 终端本地可疑特征排查遍历企业终端系统目录、用户目录重点排查两类可疑文件伪装云组件的AzureCommunication.dll、伪装日志文件的logAzure.txt。这两个文件是HollowGraph驻留的核心标识正常办公终端不会生成此类文件。查看终端进程启动项、计划任务排查是否存在无签名、无厂商信息的.NET DLL自启动程序重点核查开机自动运行、后台静默运行的未知进程此类进程大概率为恶意程序持久化组件。监控终端网络行为排查是否存在静默调用Microsoft Graph API接口、频繁访问微软云服务器但无对应办公操作的行为尤其是非浏览器、非Office程序发起的Graph API请求。3.2 M365日历异常特征排查登录企业员工邮箱后台批量查看用户日历重点筛选2050年及以后的所有远期事件优先核查固定日期2050-05-13的日程记录。正常企业办公日历的远期事件仅会存在年度会议、固定节假日、长期项目里程碑等正规日程具备明确的会议主题、参会人员、会议地点、备注信息。而恶意日历事件主题空白、无参会人、无备注信息唯一特征是携带未知格式的加密附件。排查租户操作日志监测单账号短时间内批量创建多条远期日历事件的行为普通员工不会手动批量创建多年后的日程该行为属于高危异常操作。3.3 M365租户日志异常特征登录M365合规中心、Azure Entra审计日志检索Graph API调用记录重点关注高频执行List calendar events、Add event to calendar操作的账号。排查非工作时段、异常IP地址发起的日历API调用尤其是境外IP、代理IP、非企业办公IP的批量查询、创建日历事件行为此类行为基本可以判定为恶意操作。审计租户OAuth应用授权记录排查近期新增的未知第三方应用、未知客户端ID重点核查拥有日历读写权限的未授信应用此类应用大概率为攻击者劫持或伪造的授权载体。4. 全租户自动化排查脚本可直接复制落地人工排查效率极低无法适配百级、千级用户的企业租户场景。本节提供完整可直接运行的PowerShell排查脚本适配M365全租户环境可一键扫描所有用户日历、识别2050年恶意事件、生成风险报表无需二次修改。脚本运行环境要求PowerShell 5.1及以上、已安装Microsoft Graph模块、拥有M365全局管理员或合规管理员权限、设备可正常访问微软云接口。4.1 前置环境部署命令# 以管理员身份运行PowerShell安装Microsoft Graph核心模块Install-ModuleMicrosoft.Graph-Force-AllowClobber# 确认模块安装成功Get-ModuleMicrosoft.Graph-ListAvailable4.2 全租户恶意日历事件扫描脚本# HollowGraph恶意日历事件全租户扫描脚本# 功能批量扫描所有用户2050年高危日历事件输出风险报表# 作者安全运维实战脚本# 适配所有M365商业租户、教育租户# 定义全局扫描参数$maliciousTargetDate2050-05-13$riskReportPathC:\M365_HollowGraph_Risk_Report.csv$scanResultList ()# 连接Microsoft Graph申请所需权限Connect-MgGraph-ScopesCalendar.Read.All,AuditLog.Read.All,User.Read.All-ErrorAction Stop# 获取租户所有用户信息$allTenantUsersGet-MgUser-All$true-ErrorAction SilentlyContinueWrite-Host开始扫描租户用户总数$($allTenantUsers.Count)人-ForegroundColor Cyan# 遍历所有用户日历进行风险检测foreach($userin$allTenantUsers){$userUPN$user.UserPrincipalNameWrite-Host正在扫描用户$userUPN-ForegroundColor Graytry{# 精准筛选2050-05-13全天日历事件$riskEventsGet-MgUserEvent-UserId$user.Id-Filterstart/dateTime ge $maliciousTargetDateT00:00:00Z and start/dateTime lt 2050-05-14T00:00:00Z-All$true-ErrorAction Stop# 判定可疑事件并录入报表if($riskEvents.Count-gt0){foreach($eventin$riskEvents){$riskInfo[PSCustomObject]{扫描时间 Get-Date-Formatyyyy-MM-dd HH:mm:ss可疑用户账号 $userUPN日历事件主题 $event.Subject 事件开始时间 $event.Start.DateTime 事件创建时间 $event.CreatedDateTime 附件数量 $event.Attachments.Count 参会人员数量 $event.Attendees.Count 风险等级 高危-HollowGraph可疑恶意日程风险特征 2050年远期日历事件匹配恶意C2特征}$scanResultList$riskInfo}}}catch{Write-Warning用户$userUPN日历扫描失败错误信息$_continue}}# 导出完整风险报表if($scanResultList.Count-gt0){$scanResultList|Export-Csv-Path$riskReportPath-NoTypeInformation-Encoding UTF8Write-Host扫描完成共发现$($scanResultList.Count)条高危可疑日历事件报表已导出至$riskReportPath-ForegroundColor Red}else{Write-Host扫描完成租户内未发现HollowGraph恶意日历事件-ForegroundColor Green}# 断开Graph连接Disconnect-MgGraph-Confirm:$false4.3 脚本使用说明与结果研判脚本运行完成后会在C盘根目录生成CSV格式风险报表运维人员可直接打开查看所有可疑账号和异常日历事件。报表中只要出现2050-05-13的无意义日程、带附件的远期日程即可判定账号已被入侵存在HollowGraph驻留风险。扫描完成后需第一时间对可疑账号做权限冻结、密码重置、下线所有登录设备防止攻击者继续通过该账号调用API、下发恶意指令、窃取数据。5. M365 Defender 专属检测告警规则配置人工和脚本扫描属于事后排查手段企业需要搭建常态化实时告警机制实现攻击行为的秒级发现。本节提供可直接复刻的M365 Defender自定义规则精准捕获HollowGraph攻击行为。5.1 自定义日历异常事件告警规则登录Microsoft Defender门户进入【规则和策略】-【自定义检测规则】新建告警规则配置核心触发条件操作行为筛选匹配「添加日历事件」「列出日历事件」两类操作时间筛选事件开始时间大于等于2050-01-01行为频次筛选单账号1小时内创建3条及以上远期日历事件。告警级别设置为高危触发动作配置管理员邮箱告警、企业Teams告警、账号异常行为标记确保安全团队第一时间感知风险。5.2 日历附件深度防护配置很多企业仅对邮件附件开启沙箱检测完全忽略日历附件。需在Defender for Office 365中全局开启日历附件安全检测启用Safe Attachments全租户防护策略将所有日历附件纳入沙箱分析范围拦截加密恶意载荷、未知可疑文件。同时开启日历外部邀约管控禁止外部陌生域名自动生成 tentative 暂定日程拦截钓鱼邮件、外部恶意主体自动推送的日历事件。5.3 Graph API异常调用监控规则对接M365审计日志至SIEM平台构建用户正常API调用基线。监控单账号单日日历API调用频次、非工作时段调用行为、境外IP调用行为一旦超出基线阈值立即触发告警。限制未授信应用、匿名应用调用Graph日历接口批量清理租户内无业务用途的高权限OAuth应用从源头减少API滥用风险。6. 分层企业安全加固落地方案HollowGraph攻击的核心风险是权限滥用和监控缺失漏洞补丁无法解决问题企业必须从身份权限、日历管控、API监控、终端防护、常态化运营五个维度搭建分层防护体系彻底杜绝此类云滥用攻击。6.1 身份权限源头加固核心防护层所有M365用户账号强制开启多因素认证MFA覆盖全员无例外。杜绝单一密码登录导致的账号被盗、凭证泄露问题从源头阻断攻击者获取API访问权限的路径。全面梳理租户OAuth应用、第三方授权应用清理闲置、陌生、无业务价值的授权程序回收所有非必要的Calendar.ReadWrite.All日历读写高权限。所有新增应用授权必须经过安全审核禁止普通用户私自授权第三方应用访问邮箱日历数据。细化账号权限分级普通员工仅保留基础办公权限关闭批量创建、修改日历事件的高频操作权限管理员账号单独配置严格的登录白名单、IP限制、设备绑定策略。6.2 Outlook日历专项安全加固关闭M365自动生成日历事件功能拦截邮件系统根据邮件内容自动创建日程的行为防止攻击者通过钓鱼邮件自动植入恶意日历事件。配置外部日程管控策略所有外部域名发起的日历邀约、日程共享必须经过用户手动确认方可生效禁止自动接收外部远期日程。建立月度日历巡检机制每月定时执行前文自动化扫描脚本批量清理租户内所有超远期、无意义、带陌生附件的异常日历事件形成常态化风险清理机制。6.3 Graph API流量管控与限流加固在Azure Entra中配置API限流策略限制单账号单位时间内日历事件的创建、查询频次拦截批量恶意创建远期日程的行为。配置IP访问白名单仅允许企业办公公网IP、授信专线IP访问Graph API核心接口直接封禁境外IP、代理IP、匿名IP的API访问请求阻断异地恶意操作。全量开启Graph API审计日志留存日志留存时长不低于90天满足溯源、合规、应急处置需求确保所有API调用行为可追溯、可复盘。6.4 终端侧专项防护加固更新EDR终端防护规则新增自定义查杀特征拦截AzureCommunication.dll、logAzure.txt两类可疑文件的生成、运行、读写行为禁止未知程序静默调用Outlook本地接口。监控终端.NET程序的异常网络行为重点拦截无业务场景下频繁访问Microsoft Graph API的后台进程阻止恶意程序的静默通信。定期全盘扫描未知.NET DLL文件、伪装系统日志文件清理Cavern后门框架相关恶意组件消除终端驻留风险。6.5 常态化安全运营机制每周开展M365权限审计重点核查OAuth应用新增授权、API权限变更、账号异常登录记录及时发现潜在的权限劫持风险。每季度开展员工安全培训摒弃传统的钓鱼邮件培训内容新增云服务滥用、日历隐蔽攻击、远期异常日程自查等新型威胁科普提升员工自主排查能力。将M365日历安全、Graph API监控纳入企业安全评分体系定期整改监控盲区补齐云安全防护短板。7. 应急处置完整流程入侵后落地操作若企业通过扫描发现HollowGraph入侵痕迹需按照以下流程快速处置遏制风险扩散完成溯源整改。第一时间冻结可疑用户账号重置账号密码强制下线所有登录设备撤销该账号所有OAuth授权和API访问权限阻止攻击者继续控制账号。批量删除该账号下所有2050年远期恶意日历事件清理所有陌生附件彻底清除C2中转通道。终端全盘查杀恶意DLL、伪装日志文件检查计划任务、启动项、注册表清除所有持久化驻留组件。导出该账号90天内的登录日志、API调用日志、日历操作日志溯源入侵时间、入侵路径、数据窃取范围、攻击者操作IP完成威胁复盘。针对同租户所有账号开展全面扫描排查是否存在批量沦陷情况避免单点入侵扩散为全域风险。最后完成权限整改、规则更新、策略加固避免同类攻击再次发生。1. 你的企业M365安全监控体系是否覆盖日历事件异常行为与远期日程检测是否存在云服务监控盲区2. 针对Microsoft Graph API合法权限滥用类攻击你所在团队目前采用哪些落地检测与防护手段