Mit Iran verbundene Gruppe setzt neu identifiziertes Cavern-C2-Framework gegen israelische Ziele ein

Eine mit dem iranischen Ministerium für Nachrichtendienste und Sicherheit verbundene Hackergruppe nutzt laut Check Point Research bei Angriffen auf israelische Organisationen ein bislang nicht dokumentiertes Command-and-Control-Framework namens Cavern oder Cav3rn. Die Aktivitäten betrafen hauptsächlich IT-Dienstleister und regierungsnahe Einrichtungen.

Die Forscher bezeichnen die Gruppe als Cavern Manticore und beobachten gewisse taktische Überschneidungen mit MuddyWater und Lyceum. Letztere Gruppe wird dem OilRig-Ökosystem zugerechnet. Das Framework scheint auf flexible Operationen ausgelegt zu sein und verfügt über separate Komponenten für die zentrale Kommunikation sowie für Aufgaben nach der Kompromittierung, etwa Aufklärung, Dateidiebstahl, Tunneling und laterale Bewegungen.

So funktionieren die Angriffe

Die Angriffskette beginnt mit dem Missbrauch des Software-Aktualisierungsprozesses von SysAid. Anschließend nutzen die Angreifer DLL-Side-Loading, um eine trojanisierte Datei namens uxtheme.dll zu starten, die den Hauptagenten enthält. Dieser Agent lädt daraufhin ein weiteres Modul, um mit einem Server unter hospitalinstallation[.]com zu kommunizieren und zusätzliche Payloads über HTTPS- oder WebSocket-Verbindungen abzurufen.

• mhm.dll zum Durchsuchen, Suchen, Archivieren und Übertragen von Dateien
• db.dll zur Aufzählung und Manipulation von SQL-Datenbanken
• ode.dll zur Erkennung von Active Directory und für LDAP-Brute-Force-Versuche
• n-ten.dll zum Scannen von Netzwerken und für SMB-Brute-Force-Angriffe
• n-sws.dll für SOCKS5-Proxying und Tunneling

Nach Angaben von Check Point zeichnet sich das Framework dadurch aus, dass es mehrere .NET-Kompilierungsmethoden kombiniert, darunter das standardmäßige .NET Framework, Mixed-Mode C++/CLI und Native AOT. Dieses Design kann die Analyse erschweren, da Verteidiger für jede Komponente unterschiedliche Tools und Rekonstruktionsmethoden einsetzen müssen. Die Verwendung von AppDomain-Isolation für Module könnte zudem dazu beitragen, die forensische Sichtbarkeit zu begrenzen.

Die Ermittler erklärten außerdem, dass sich die Betreiber offenbar über vertrauenswürdige Beziehungen zwischen Dienstleistern bewegen. Dabei springen sie mitunter von einem kompromittierten IT-Anbieter zu einem anderen, bevor sie ein endgültiges Ziel erreichen. In einigen Fällen nutzten sie browserbasierte Remote-Desktop-Tools und legitime Druckfunktionen, um Daten zu übertragen, wenn andere Übertragungsoptionen blockiert waren.

Die Erkenntnisse fallen in eine Zeit zunehmender regionaler Spannungen im Zuge des andauernden Militäreinsatzes Israels und der Vereinigten Staaten gegen den Iran. In einer separaten Reihe von Vorfällen wurde MuddyWater zuletzt mit groß angelegten Scans und Folgeangriffen in Verbindung gebracht, bei denen bekannte Schwachstellen in weit verbreiteten Produkten wie SmarterMail, n8n, N-central, Langflow und Laravel Livewire ausgenutzt wurden. Anschließend richteten sich die Angriffe im Nahen Osten zunehmend auf den Diebstahl von Zugangsdaten und die Exfiltration von Daten.