Un groupe lié à l’Iran utilise le framework C2 Cavern récemment identifié contre des cibles israéliennes

Selon Check Point Research, un groupe de pirates lié au ministère iranien du Renseignement et de la Sécurité utilise un framework de commande et de contrôle jusque-là inconnu, appelé Cavern ou Cav3rn, lors d’intrusions visant des organisations israéliennes. L’activité a principalement touché des fournisseurs de services informatiques et des entités liées au gouvernement.

Les chercheurs indiquent que le groupe, qu’ils suivent sous le nom de Cavern Manticore, présente certaines similitudes tactiques avec MuddyWater et Lyceum, ce dernier étant considéré comme faisant partie de l’écosystème OilRig. Le framework semble conçu pour prendre en charge des opérations flexibles, avec des composants distincts dédiés aux communications essentielles et aux activités post-compromission telles que la reconnaissance, le vol de fichiers, le tunneling et les déplacements latéraux.

Déroulement des attaques

La chaîne d’intrusion commence par l’exploitation abusive du processus de mise à jour du logiciel SysAid. Les attaquants utilisent ensuite le chargement latéral de DLL pour lancer un fichier infecté nommé uxtheme.dll, qui contient l’agent principal. Celui-ci charge alors un autre module afin de communiquer avec un serveur identifié comme hospitalinstallation[.]com et de récupérer des charges utiles supplémentaires via des connexions HTTPS ou WebSocket.

• mhm.dll pour parcourir, rechercher, archiver et transférer des fichiers
• db.dll pour énumérer et manipuler des bases de données SQL
• ode.dll pour découvrir Active Directory et effectuer des tentatives de force brute LDAP
• n-ten.dll pour analyser les réseaux et mener des attaques par force brute contre SMB
• n-sws.dll pour utiliser des proxys SOCKS5 et établir des tunnels

Check Point a déclaré que le framework se distingue par le recours à plusieurs méthodes de compilation .NET, notamment .NET Framework standard, C++/CLI en mode mixte et Native AOT. Cette conception peut compliquer l’analyse en obligeant les défenseurs à utiliser des outils et des méthodes de reconstruction différents pour chaque composant. L’utilisation de l’isolation AppDomain pour les modules peut également contribuer à limiter la visibilité forensique.

Les enquêteurs ont ajouté que les opérateurs semblent se déplacer au moyen de relations de confiance entre fournisseurs de services, passant parfois d’un prestataire informatique compromis à un autre avant d’atteindre une cible finale. Dans certains cas, ils ont également utilisé des outils d’accès à distance fondés sur un navigateur ainsi que des fonctions d’impression légitimes pour transférer des données lorsque les autres options de transfert étaient bloquées.

Ces découvertes interviennent dans un contexte de tensions régionales accrues, à la suite de la campagne militaire en cours menée par Israël et les États-Unis contre l’Iran. Dans une série d’incidents distincte, MuddyWater a récemment été associé à des opérations d’analyse à grande échelle et à des attaques ultérieures exploitant des vulnérabilités connues dans des produits largement utilisés, notamment SmarterMail, n8n, N-central, Langflow et Laravel Livewire, avant de se tourner vers le vol d’identifiants et l’exfiltration de données au Moyen-Orient.