Un gruppo di hacker collegato al Ministero dell’Intelligence e della Sicurezza iraniano ha utilizzato un nuovo framework di command and control chiamato Cavern (o Cav3rn) per colpire organizzazioni israeliane, con un focus particolare su fornitori IT e settore governativo. La campagna evidenzia un livello di maturità elevato, grazie a una piattaforma modulare basata su tecnologia .NET e progettata per adattarsi ai diversi profili di vittima, ridurre la visibilità forense e mantenere accesso persistente tramite moduli dedicati.
La struttura separa in modo netto le funzioni di comunicazione dalle capacità post-exploitation. Il Cavern Agent gestisce il contatto con il server C2 e carica moduli aggiuntivi solo quando necessario, abilitando attività come ricognizione, furto dati, tunneling e movimento laterale. Questa architettura consente agli operatori di distribuire solo i componenti indispensabili, limitando le tracce su disco e rendendo più complessa l’analisi.
La catena di attacco osservata sfrutta la funzione di aggiornamento software di SysAid per avviare un meccanismo di DLL side loading. In questo scenario viene eseguita una DLL alterata, uxtheme.dll, che contiene il Cavern Agent. Successivamente il malware carica un modulo di comunicazione separato, nHTCommp.dll, che contatta un dominio C2 e scarica altri moduli su richiesta tramite HTTPS o WebSocket.
Moduli identificati e funzionalità
- mhm.dll: esegue operazioni sui file e trasferimenti bidirezionali.
- db.dll: consente enumerazione ed esportazione di database SQL.
- ode.dll: effettua ricognizione su Active Directory e tentativi di brute force LDAP.
- nten.dll: supporta ricognizione di rete, scansione porte e brute force SMB.
- nsws.dll: implementa proxy SOCKS5 e WebSocket tunneling, utile per instradare traffico e mantenere canali di accesso.
Un elemento chiave è l’approccio anti-analisi, basato su più formati di compilazione .NET, inclusi .NET Framework, Mixed Mode C++/CLI e Native AOT. L’uso di Native AOT e componenti misti costringe i reverse engineer a utilizzare strumenti differenti e processi di ricostruzione dei metadati. Inoltre, il caricamento dei moduli gestiti tramite isolamento AppDomain supporta tecniche anti-forensics come lo scaricamento selettivo dei domini applicativi.
L’operazione mostra anche l’abuso di relazioni fidate nella supply chain, con passaggi da un fornitore IT compromesso a un secondo e poi al bersaglio finale. In ambienti con soluzioni RMM, questo facilita il movimento laterale e la distribuzione di malware mascherato da aggiornamenti legittimi, includendo anche l’uso di tecnologie di desktop remoto via browser e funzionalità come la stampa remota per esfiltrare dati quando i canali standard sono limitati.