黑客将恶意软件命令隐藏在 2050 年的 Outlook 事件中，并将其用作 C2 通道

TtTeam

2026年10月15日 09:00
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

以下文章来源于威胁情报Z分析
，作者Z

威胁情报Z分析
.

国际网络安全威胁情报，地缘政治事件分析。

一种新发现的与 Project CAV3RN 框架相关的恶意软件组件正在滥用 Microsoft Outlook 日历中 2050 年的事件来隐藏命令与控制 (C2) 通信。该工具还利用 DNS AAAA 响应作为备用通道，在云身份验证失败时恢复 Microsoft Graph 凭据。

卡巴斯基的研究人员已将该活动与针对以色列组织的高针对性网络间谍行动联系起来。虽然更广泛的 CAV3RN 生态系统已被证实与伊朗相关的活动有关，但一些研究人员仍然对 OilRig 的归因持怀疑态度。

Outlook 作为 C2 渠道

这个名为 AzureCommunication.dll 的新通信模块似乎旨在取代 CAV3RN 模块化架构中早期的 HTTP/WebSocket C2 组件。它利用 Microsoft Graph API 访问已被入侵的 Microsoft 365 邮箱，将其默认的 Outlook 日历变成一个双向的死信箱通道。

该恶意软件并非直接连接攻击者控制的服务器，而是使用 OAuth 2.0 应用程序凭据向 Microsoft Entra ID 进行身份验证。然后，它通过 Microsoft Graph 访问日历事件，从而使恶意流量与合法的 Microsoft 365 活动混杂在一起。

命令、心跳信号和被盗数据被存储在一个固定的日历窗口中：2050 年 5 月 13 日 22:00 至 23:00 UTC。将事件设定在数十年后，可以降低受害者或管理员在普通日历视图中发现它们的可能性。与Group-IB 关联的报告也描述了类似的情况，即加密命令和数据被隐藏在计划于 2050 年发送的日历附件中。

对于操作员任务，该恶意软件使用格式为Event ID: . 的主题搜索日历事件。它会下载附加的命令数据，对其进行解密，并在检索后删除该事件。

该恶意软件对入站命令采用混合加密：RSA 加密的 AES 密钥保护 AES-256-GCM 加密的有效载荷。这种方法既能保障运营商的机密性和完整性，又能利用合法的云平台作为传输层。

发送结果时，植入体会创建一个临时日历事件，上传最大 10 MB 的加密输出附件，然后将主题更改为Boss Report ID: 1500。

file0.txt入站附件名称和出站附件名称的大小写差异File0.txt可能为防御者提供有用的线索

该框架还会创建和替换标记为 的心跳事件Boss update ID: 1500，使操作员能够在没有直接 C2 基础设施的情况下跟踪活跃的植入物。

如果Microsoft Graph 令牌获取或租户验证失败，AzureCommunication.dll 将切换到基于 DNS 的恢复过程。它使用 AAAA 记录查询参与者控制的 DNS 基础架构，并将 IPv6 地址视为配置片段的容器，而不是网络目标。

该恶意软件会检索更新后的信息，包括 Microsoft Entra 租户 ID、客户端 ID、客户端密钥和目标邮箱地址，这些信息以 14 字节的片段形式存储。每个查询都包含一个十六进制编码的代理标识符，这使得由操作员控制的权威 DNS 服务器能够针对每个特定受害者定制响应，正如卡巴斯基向 CybersecurityNews 分享的一份报告中所述。

这种回退机制意义重大，因为它允许攻击者在不部署更新后的恶意软件有效载荷的情况下修复其云端 C2 配置。HollowGraph 的报告也指出，攻击者利用 IPv6 AAAA 记录进行 DNS 隧道传输，以刷新用于 Microsoft Graph C2 的 Entra ID 凭据。

安全建议

组织应调查涉及 Microsoft Graph 日历操作的异常应用程序活动，特别是当服务主体在没有明确业务目的的情况下创建、修改、删除日历事件或将文件附加到日历事件时。

分析人员应查看 Microsoft 365 审核日志，查找日期较远的事件、可疑主题（例如Event ID:、Boss update ID:和Boss Report ID:）以及与单个邮箱相关的重复活动。

防御者还应监控 DNS AAAA 查询cloudlanecdn[.]com，特别是包含长十六进制字符串和数字字段的子域。

该活动表明，威胁行为者如何利用受信任的 SaaS 平台和 DNS 基础设施，使 C2 通信更难与正常的企业流量区分开来。