[ Início ]

Pesquisadores de segurança identificaram uma nova evolução do Cavern (ou Cav3rn), um framework modular de Command and Control (C2) associado ao grupo Cavern Manticore, ligado ao ecossistema do Ministério de Inteligência e Segurança do Irã (MOIS). A campanha tem como principal alvo organizações israelenses, especialmente dos setores governamental e de serviços de tecnologia da informação.

O framework apresenta uma arquitetura modular baseada em .NET, com diferentes componentes responsáveis por funções como descoberta de arquivos, consulta a bancos de dados, reconhecimento de Active Directory, reconhecimento de rede e tunelamento. A utilização de diferentes formatos de compilação, incluindo .NET Framework, também dificulta a análise e a detecção baseada exclusivamente em assinaturas.

Em uma evolução mais recente, pesquisadores observaram o uso de DNS tunneling e serviços legítimos, como Google Apps Script, para dificultar a distinção entre o tráfego malicioso e comunicações normais de aplicações em nuvem. Essa técnica permite que a infraestrutura de C2 se misture ao tráfego que organizações normalmente permitem em seus ambientes.

Cadeia de Ataque

Em incidentes analisados pela Check Point [1], o acesso inicial foi obtido por diferentes meios, incluindo o abuso de softwares de gerenciamento remoto (RMM). Em um dos casos, os operadores utilizaram uma funcionalidade legítima de implantação de software do SysAid para executar uma DLL maliciosa em outra máquina. Vale destacar que, segundo a investigação, o SysAid não foi comprometido nem houve exploração de uma vulnerabilidade no produto.

A partir da execução do componente inicial, o Cavern Agent carrega módulos adicionais conforme as necessidades do operador. Essa arquitetura permite que o atacante não mantenha todas as funcionalidades do malware presentes no sistema comprometido desde o início.

Entre os módulos identificados estão componentes para manipulação e transferência de arquivos, enumeração e interação com bancos de dados, reconhecimento de usuários e grupos do Active Directory, reconhecimento de rede e estabelecimento de túneis. Dessa forma, o mesmo framework pode ser adaptado para diferentes etapas de uma intrusão.

A comunicação com a infraestrutura de C2 também foi projetada para reduzir a visibilidade do tráfego. Além de HTTPS e WebSocket observados no framework, versões mais recentes associadas ao Cavern utilizam DNS tunneling e serviços legítimos da infraestrutura Google fazendo com que parte da comunicação pareça corresponder a tráfego legítimo de serviços amplamente utilizados.

Essa separação entre agente e módulos é particularmente relevante para defesa. O operador pode carregar somente as capacidades necessárias para determinado alvo, reduzindo a quantidade de código presente no endpoint e dificultando a detecção por mecanismos tradicionais.

Mitigações

Como Cavern é uma ferramenta de pós-exploração, a defesa deve se concentrar tanto na prevenção do acesso inicial quanto na identificação de comportamentos associados ao framework.

Dentre as principais medidas, destacam-se:

• Restringir e monitorar softwares de RMM, especialmente suas funcionalidades de atualização e implantação remota;
• Registrar e auditar processos criados por ferramentas de gerenciamento remoto;
• Aplicar políticas de application control para impedir carregamento de DLLs a partir de diretórios graváveis por usuários;
• Monitorar carregamentos anômalos de DLLs, particularmente bibliotecas com nomes associados a componentes legítimos do Windows;
• Inspecionar consultas DNS anormalmente longas, frequentes ou com padrões incompatíveis com o comportamento normal dos dispositivos;
• Monitorar o uso de Google Apps Script e outras plataformas de nuvem por processos que normalmente não deveriam utilizá-las;
• Correlacionar logs de DNS, proxy, endpoint e serviços de nuvem para identificar possíveis canais C2;
• Monitorar consultas LDAP, enumeração de grupos e usuários e reconhecimento de compartilhamentos de rede realizados por processos incomuns;
• Aplicar segmentação de rede e princípio do menor privilégio para limitar o impacto de uma máquina comprometida;
• Caso haja evidências de comprometimento, investigar não apenas o endpoint que executou o Cavern, mas também os sistemas acessíveis a partir dele.

Uma característica particularmente importante da campanha é que bloquear um domínio ou endereço IP específico pode ser insuficiente. O uso de serviços legítimos e canais como DNS permite que a infraestrutura de C2 seja alterada ou escondida dentro de tráfego normalmente permitido. Por isso, detecções comportamentais e correlação de eventos são mais relevantes do que depender exclusivamente de listas de indicadores estáticos.

Fontes

[1] CHECK POINT RESEARCH. Cavern Manticore: Exposing Iran-Linked Modular C2 Framework. 2026. Disponível em: https://research.checkpoint.com/2026/cavern-manticore-exposing-iran-linked-modular-c2-framework/. Acesso em: 17 ago. 2026.

[2] THE HACKER NEWS. Iran-Linked Hackers Use New Cavern C2 Framework to Target Israeli Organizations. 2026. Disponível em: https://thehackernews.com/2026/07/iran-linked-hackers-use-new-cavern-c2.html. Acesso em: 17 ago. 2026.

[3] GROUP-IB. HOLLOWGRAPH: Turning Microsoft 365 Calendars into Covert Command-and-Control Channels. 2026. Disponível em: https://www.group-ib.com/blog/hollowgraph-microsoft-365/. Acesso em: 17 ago. 2026.

[4] THE HACKER NEWS. HollowGraph Malware Hides C2 and Stolen Files in Microsoft 365 Events Dated 2050. 2026. Disponível em: https://thehackernews.com/2026/07/hollowgraph-malware-hides-c2-and-stolen.html. Acesso em: 17 ago. 2026.