HollowGraphは.NETベースのエージェントで、Microsoft Graph APIを介して認証済みのMicrosoft 365カレンダーをコマンド＆コントロールおよびデータ漏洩のチャネルとして利用する。攻撃者は2050-05-13のカレンダーイベントに暗号化されたファイルを追加してコマンドを送信し、盗まれたデータを同様の方法で外部に送出する。この日付はユーザーがカレンダーを確認する可能性をほぼゼロに抑える。

エージェントはRSA-AES-256暗号化でコマンドとデータを保護する。また、DNS経由でIPv6 AAAAレコードを通じてEntra IDの認証情報を更新し、それらをlogAzure.txtというファイルに書き込む。このチャネルは暗号化されていないが、カレンダートラフィックと連携して侵入を継続する。

Group-IBはHollowGraphをCavernバックドアフレームワークと関連付け、このエージェントがイランのアクターと関係している可能性があると考えているが、断定はしていない。検出された12台のシステムのうち、数台のみがアクティブで、最終アクティブ日は2026年7月9日と記録されている。これは標的型スパイ活動であることを示している。