Le piu recenti analisi di threat intelligence mostrano come il framework Cavern C2 stia evolvendo per confondersi nel traffico legittimo e rendere piu complessa la rilevazione a livello di rete. Questo strumento di command and control e associato a operazioni di cyber espionage attribuite a un ecosistema di gruppi legati all Iran e risulta impiegato in campagne contro organizzazioni in Israele.
La caratteristica chiave e la modularita, con un agente e vari moduli che abilitano funzionalita post exploitation mirate, mantenendo bassa la visibilita forense e favorendo la persistenza.
I moduli osservati coprono attivita tipiche di un toolkit avanzato, incluse operazioni su file, enumerazione di database SQL, ricognizione Active Directory, attacchi LDAP brute force, network discovery e funzioni di proxy e tunneling come SOCKS5 e WebSocket. Questo approccio a plugin consente agli operatori di adattare rapidamente le capacita in base all obiettivo, riducendo la necessita di cambiare l impianto principale e limitando gli indicatori di compromissione piu evidenti.
Dettaglio delle funzionalita modulari
- Operazioni su file: gestione e manipolazione di contenuti sul sistema compromesso.
- Enumerazione SQL: raccolta di informazioni e interrogazioni su database.
- Ricognizione Active Directory: mappatura di utenti, gruppi e risorse di dominio.
- LDAP brute force: tentativi di accesso e validazione credenziali via LDAP.
- Network discovery: individuazione di host e servizi nella rete.
- Proxy e tunneling: instradamento del traffico tramite SOCKS5 e WebSocket.
Un elemento particolarmente rilevante e l uso combinato di DNS e servizi cloud per la comunicazione C2. Un nuovo modulo, identificato come GoogleService.dll, legge una configurazione locale e interroga il DNS tramite risposte A record per decidere transazione per transazione se usare un canale HTTPS diretto oppure un relay basato su Google Apps Script. In modalita Google, le richieste vengono inviate a una distribuzione Apps Script che inoltra i messaggi verso un backend controllato dagli attaccanti. In modalita diretta, il traffico raggiunge invece un indirizzo configurato senza passare dal relay. Lo stesso impianto DNS puo anche supportare la rotazione dell identificativo di distribuzione del relay, rendendo piu difficile bloccare stabilmente il canale.
Comunicazione C2: DNS e cloud come copertura
- Decisione dinamica via DNS (A record): scelta per singola transazione del canale di comunicazione.
- Modalita relay (Google Apps Script): inoltro dei messaggi verso un backend degli attaccanti tramite servizio legittimo.
- Modalita diretta (HTTPS): comunicazione verso un indirizzo configurato senza passare dal relay.
- Rotazione dell identificativo di distribuzione: maggiore resilienza ai blocchi e piu complessa azione di takedown.
A supporto dell architettura, e stato osservato anche un broker locale, rnp.dll, che scopre e carica componenti DLL, instrada i messaggi tra moduli e abilita aggiornamenti a runtime. Questa catena tecnica evidenzia una tendenza chiara nella sicurezza informatica moderna: l abuso di servizi affidabili e diffusi per mascherare il traffico malevolo tra richieste apparentemente normali, riducendo l efficacia delle difese perimetrali tradizionali basate su firme e blocchi statici.