İran İstihbarat Bakanlığı'na (MOIS) bağlı bir bilgisayar korsanı grubu, daha önce belgelenmemiş, Cavern (Cav3rn olarak da bilinir) adlı modüler bir komuta-kontrol (C2) çerçevesi kullanarak İsrail kuruluşlarını hedef alıyor.
Bu faaliyet, özellikle BT sağlayıcıları ve devlet sektörünü hedef alırken, Check Point Research tarafından Cavern Manticore adı verilen bir tehdit kümesine atfedildi. Araştırmacılar, bu grubun MuddyWater ve Lyceum ile taktiksel benzerlikler taşıdığını, Lyceum'un ise OilRig'in bir alt grubu olduğunu değerlendiriyor.
Check Point Research, "Çerçeve, paylaşılan bir .NET temeli etrafında inşa edilmiş olgun ve uyarlanabilir bir araç setini yansıtıyor. Farklı bileşenlerde .NET Framework, .NET Mixed-Mode C++/CLI ve .NET Native AOT gibi çeşitli derleme formatları kullanılıyor" dedi.
Şirket, "Derleme formatının kendisi, tersine mühendisleri birden fazla araç seti ve meta veri yeniden yapılandırma iş akışına zorlayan bir anti-analiz katmanı haline geliyor" ifadelerini kullandı.
C2 çerçevesinin bileşenleri, Cavern Agent ve Cavern modülleri olarak kullanılıyor ve temel iletişim yetenekleri ile göreve özel sömürü sonrası işlevler arasında net bir görev dağılımı gösteriyor. Bu mimari, operatörlerin kurban profiline göre dağıtımları özelleştirmesine, adli görünürlüğü azaltmasına ve keşif, veri hırsızlığı, tünelleme ve yanal hareket için özel modüller aracılığıyla kalıcı erişim sağlamasına olanak tanıyor.
Check Point Research tarafından belgelenen saldırı zinciri, SysAid'in yazılım güncelleme özelliği ile başlıyor. Saldırgan, bu özelliği kullanarak bir DLL yandan yükleme (DLL side-loading) zinciri başlatıyor ve Cavern Agent'ı içeren trojanize edilmiş bir DLL ("uxtheme.dll") dosyasının çalıştırılmasına yol açıyor. Agent, bağımsız bir iletişim DLL modülü ("n-HTCommp.dll") yükleyerek C2 sunucusu ("hospitalinstallation[.]com") ile HTTPS veya WebSocket üzerinden bağlantı kuruyor ve anlık olarak ek sömürü sonrası modüller alıyor.
Beş adede kadar DLL modülü tespit edildi: Keşif (Recon), Veri Hırsızlığı (DataTheft), Tünelleme (Tunnel), Yanal Hareket (LateralMove), Proxy.
