Un gruppo APT legato all’Iran utilizza un framework modulare di comando e controllo negli attacchi contro Israele

I ricercatori di Check Point affermano che un gruppo di advanced persistent threat legato all’Iran ha utilizzato un framework modulare di comando e controllo in operazioni rivolte a organizzazioni israeliane. L’attività è stata attribuita a un cluster monitorato come Cavern Manticore, che secondo l’azienda si concentra su enti governativi e fornitori di servizi IT e potrebbe essere collegato al Ministero dell’Intelligence e della Sicurezza iraniano. Check Point ha inoltre rilevato possibili sovrapposizioni con l’ecosistema OilRig, inclusi i gruppi noti come Lyceum, Hexane e SiameseKitten.

Il design modulare complica l’analisi

Secondo il rapporto, il framework malware è scritto in .NET e utilizza stili di compilazione differenti tra i suoi componenti. Invece di affidarsi a tecniche convenzionali di packing o a una pesante offuscazione del codice, gli attaccanti sembrano sfruttare la struttura stessa della build per ostacolare l’analisi. Ogni componente può richiedere un set di strumenti o un flusso di lavoro diverso per il reverse engineering, costringendo gli analisti a cambiare metodo durante l’esame del framework.

Il sistema separa le funzioni di comunicazione principali dai moduli post-sfruttamento, consentendo agli operatori di caricare solo gli strumenti necessari per uno specifico obiettivo. Questo design offre agli attaccanti la flessibilità di personalizzare ogni intrusione e mantenere più a lungo l’accesso agli ambienti compromessi.

Vettore d’infezione e attività successive alla compromissione

Check Point ha dichiarato che la catena d’intrusione inizia con l’abuso del meccanismo di aggiornamento software di SysAid, utilizzato per eseguire il sideload di una DLL di WinDirStat e avviare l’agente principale di Cavern. Una volta che l’agente stabilisce la comunicazione con i propri controller, può recuperare moduli aggiuntivi su richiesta.

• Operazioni su file e directory
• Individuazione e manipolazione dei database
• Attività di brute force su LDAP e SMB
• Ricognizione della rete
• Proxying SOCKS5 e tunneling WebSocket/WSS

L’agente esegue moduli sia gestiti sia nativi, isolando ciascuno di essi nel proprio AppDomain prima di rimuoverlo dalla memoria. Elimina inoltre la maggior parte dei file nella directory di lavoro per ridurre le tracce forensi.

Negli attacchi osservati contro obiettivi israeliani, il gruppo ha utilizzato strumenti di monitoraggio remoto per i movimenti laterali, l’accesso a desktop remoti basato su browser e funzionalità di stampa integrate per trasferire dati all’esterno delle reti delle vittime. Check Point ha affermato che le campagne dimostrano una solida conoscenza delle relazioni tra fornitori nell’ecosistema IT israeliano, con gli attaccanti che talvolta passano da un fornitore iniziale a uno di secondo livello prima di raggiungere l’obiettivo designato.

I ricercatori hanno aggiunto che il framework potrebbe essere stato sviluppato con l’ausilio di strumenti di intelligenza artificiale, ma il coinvolgimento umano era comunque evidente nei commenti del codice, nelle scelte dei nomi e nelle incoerenze tra i moduli.