После загрузки конфигурации и генерации идентификатора сессии малварь устанавливает связь посредством Microsoft Graph API, отправляя и получая команды через черновики в Outlook. — Хакер Online.