---
title: "HollowGraph Zararlı Yazılımı, C2 ve Çalınan Dosyaları 2050 Tarihli Microsoft 365 Etkinliklerinde Gizliyor"
url: "https://teknotayf.com/haber/hollowgraph-zararli-yazilimi-c2-ve-calinan-dosyalari-2050-tarihli-microsoft-365-etkinliklerinde-gizliyor"
markdown_url: "https://teknotayf.com/haber/hollowgraph-zararli-yazilimi-c2-ve-calinan-dosyalari-2050-tarihli-microsoft-365-etkinliklerinde-gizliyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-07-20 20:12:28"
updated: "2026-07-20 17:12:28"
category: "Siber Güvenlik"
tags: ["Siber Casusluk","Microsoft 365","SaaS Güvenliği","HollowGraph","Graph API"]
source: "The Hacker News"
---

# HollowGraph Zararlı Yazılımı, C2 ve Çalınan Dosyaları 2050 Tarihli Microsoft 365 Etkinliklerinde Gizliyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/hollowgraph-zararli-yazilimi-c2-ve-calinan-dosyalari-2050-tarihli-microsoft-365-etkinliklerinde-gizliyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Group-IB tarafından keşfedilen HollowGraph adlı yeni bir casus yazılım, Microsoft 365 takvimini komuta ve kontrol kanalı olarak kullanıyor. Zararlı yazılım, operatör talimatlarını ve çalınan dosyaları 2050 yılına tarihlenmiş takvim etkinliklerine ekleyerek meşru Graph API trafiği üzerinden tespit edilmekten kaçınıyor.

- **Yayın tarihi:** 2026-07-20 20:12
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Casusluk, Microsoft 365, SaaS Güvenliği, HollowGraph, Graph API
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/07/hollowgraph-malware-hides-c2-and-stolen.html)

![HollowGraph Zararlı Yazılımı, C2 ve Çalınan Dosyaları 2050 Tarihli Microsoft 365 Etkinliklerinde Gizliyor](https://teknotayf.com/assets/uploads/2026/07/392f116f26acfb025d636572a2cd3392.jpg)

Yeni keşfedilen bir casus yazılım, ele geçirilmiş bir **Microsoft 365** takvimini komuta kanalı olarak kullanıyor. Operatör talimatlarını ve çalınan dosyaları 2050 yılına tarihlenmiş takvim etkinliklerine ek olarak gizliyor.

[Group-IB](https://www.group-ib.com/blog/hollowgraph-microsoft-365/), zararlı yazılıma **HollowGraph** adını verdi. Şirkete göre bu yöntem, görevlendirme ve çalınan verileri meşru Microsoft Graph API trafiği üzerinden taşıyor. Bu sayede etkinlik, sıradan bir Microsoft 365 trafiği gibi görünüyor ve saldırgana ait hedeflere göre ayarlanmış ağ kontrolleri herhangi bir işaret yakalayamıyor.

Zararlı yazılım, yalnızca `get` ve `send` olmak üzere iki komutu destekleyen bir .NET DLL dosyası. Saldırgana ait bir sunucuya yük indirmek için asla bağlantı kurmuyor. Bunun yerine, ele geçirilmiş posta kutusunun takvimini iki yönlü bir ölü posta kutusu olarak kullanıyor.

Görev talimatlarını almak için takvimde operatörün yerleştirdiği bir etkinliği sorguluyor. Bu etkinlik `2050-05-13` tarihine gizlenmiş durumda, bu nedenle posta kutusu sahibinin oraya kaydırma yapması pek olası değil. Talimatları ekli bir dosyadan okuyor. Veri sızdırmak içinse tersini yapıyor: çalınan dosyayı şifreliyor, kendi uzak gelecek etkinliğini oluşturuyor ve veriyi bir veya daha fazla ek olarak yüklüyor.

Takvim üzerinden taşınan her şey hibrit RSA ve AES-256 şifrelemesiyle korunuyor. Gelen görevlendirme ve giden veriler için ayrı anahtar çiftleri kullanılıyor.

Graph erişimini canlı tutmak için ikinci ve daha kaba bir kanal daha var. HollowGraph, DNS üzerinden uygulamanın Entra ID (Azure AD) giriş bilgilerini yeniliyor: kiracı kimliği, istemci kimliği, istemci sırrı ve hedef posta kutusu. Bu değerleri, saldırgan alan adı `cloudlanecdn[.]com` tarafından gönderilen IPv6 AAAA kayıtlarından çözüyor ve ardından bunları sıradan bir günlük dosyası gibi görünen `logAzure.txt` dosyasına yazıyor. Bunlar depolanmış istemci kimlik bilgileri, erişim belirteçleri değil. Takvim trafiğinin aksine bu kanal açık metin olarak çalışıyor.

Group-IB, HollowGraph'ı **Cavern** ile yüksek güvenle ilişkilendiriyor. Ortak komut sözdizimi ve eşleşen dahili görevlendirme yapısı buna işaret ediyor. Cavern, Check Point'in [bu ayın başlarında belgelediği](https://research.checkpoint.com/2026/cavern-manticore-exposing-iran-linked-modular-c2-framework/) modüler bir arka kapı çerçevesi. Check Point, bunu İran İstihbarat ve Güvenlik Bakanlığı bağlantılı **Cavern Manticore** adlı bir aktöre atfediyor. Bu kümenin, bilinen İran grupları MuddyWater ve Lyceum ile örtüştüğü belirtiliyor.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/hollowgraph-zararli-yazilimi-c2-ve-calinan-dosyalari-2050-tarihli-microsoft-365-etkinliklerinde-gizliyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.