Mit dem Iran verbundene APT setzt bei Angriffen auf Israel auf modulares Command-and-Control-Framework

Forscher von Check Point berichten, dass eine mit dem Iran verbundene Advanced-Persistent-Threat-Gruppe bei Operationen gegen Organisationen in Israel ein modulares Command-and-Control-Framework eingesetzt hat. Die Aktivitäten wurden einem als Cavern Manticore verfolgten Cluster zugeschrieben, der sich laut dem Unternehmen auf staatliche Einrichtungen und IT-Dienstleister konzentriert und möglicherweise mit dem iranischen Ministry of Intelligence and Security verbunden ist. Check Point stellte außerdem mögliche Überschneidungen mit dem OilRig-Ökosystem fest, darunter mit den als Lyceum, Hexane und SiameseKitten bekannten Gruppen.

Modulares Design erschwert Analyse

Dem Bericht zufolge ist das Malware-Framework in .NET geschrieben und verwendet für seine Komponenten unterschiedliche Kompilierungsstile. Anstatt sich auf herkömmliches Packing oder eine starke Code-Verschleierung zu verlassen, scheinen die Angreifer die Struktur des Builds selbst zu nutzen, um die Analyse zu erschweren. Für die Rückentwicklung der einzelnen Komponenten kann jeweils ein anderer Werkzeugsatz oder Workflow erforderlich sein, sodass Analysten bei der Untersuchung des Frameworks ihre Methoden wechseln müssen.

Das System trennt die grundlegenden Kommunikationsfunktionen von den Post-Exploitation-Modulen, sodass die Betreiber nur die für ein bestimmtes Ziel benötigten Werkzeuge laden können. Dieses Design gibt den Angreifern die Flexibilität, jeden Eindringversuch individuell anzupassen und den Zugriff in kompromittierten Umgebungen länger aufrechtzuerhalten.

Infektionsweg und Aktivitäten nach der Kompromittierung

Check Point zufolge beginnt die Angriffskette mit dem Missbrauch des Software-Update-Mechanismus von SysAid. Dieser wird genutzt, um eine WinDirStat-DLL per Sideloading zu laden und den eigentlichen Cavern-Agenten auszuführen. Sobald der Agent die Kommunikation mit seinen Steuerungsservern herstellt, kann er bei Bedarf zusätzliche Module abrufen.

• Datei- und Verzeichnisoperationen
• Erkennung und Manipulation von Datenbanken
• Brute-Force-Aktivitäten gegen LDAP und SMB
• Netzwerkaufklärung
• SOCKS5-Proxying sowie Tunneling über WebSocket/WSS

Der Agent führt sowohl verwaltete als auch native Module aus und isoliert jedes davon in einer eigenen AppDomain, bevor es aus dem Speicher entfernt wird. Außerdem löscht er die meisten Dateien in seinem Arbeitsverzeichnis, um forensische Spuren zu reduzieren.

Bei Angriffen auf israelische Ziele nutzte die Gruppe nach Beobachtungen der Forscher Tools zur Fernüberwachung für laterale Bewegungen, browserbasierten Remote-Desktop-Zugriff und integrierte Druckfunktionen, um Daten aus den Netzwerken der Opfer herauszuschleusen. Check Point erklärte, die Kampagnen zeigten ein ausgeprägtes Verständnis der Lieferantenbeziehungen im israelischen IT-Ökosystem. Die Angreifer bewegten sich demnach mitunter von einem ursprünglichen Anbieter zu einem Anbieter der zweiten Ebene, bevor sie das eigentliche Ziel erreichten.

Die Forscher fügten hinzu, dass bei der Entwicklung des Frameworks möglicherweise KI-Tools zum Einsatz kamen. Der Einfluss menschlicher Entwickler sei jedoch weiterhin an Kommentaren im Code, der Wahl von Bezeichnungen und Unstimmigkeiten zwischen den Modulen erkennbar.