Cavern modulare Malware, die die Lieferkette nutzt, um Regierungen und Lieferanten infiltrieren

Eine Hacking-Gruppe, die mit dem iranischen Geheimdienst verbunden ist, hat eine modulare Befehls- und Kontrollinfrastruktur bisher unumstößt eingesetzt, getauft als Cavern(oder Cav3rn) und hat es in Kampagnen verwendet, die hauptsächlich gegen israelische Organisationen gerichtet sind, vor allem IT-Dienstleister und Behörden. Laut öffentlichen Berichten synthetisiert die Bedrohung durch eine klare Trennung zwischen einer Zentralvermittler und spezialisierte Module, die dynamisch für bestimmte Aufgaben wie Exfiltration, Active Directory-Erkennung, Datenbankdiebstahl und Tunelisierung geladen werden.

Technisch gesehen ist eine der wichtigsten Merkmale dieser Operation die bewusste Verwendung von mehreren. NET-Compilationsformate: von rein . NET Framework-Baugruppen zu Mixed-Mode C + + / CLI Binaries und Module, die mit Native AOT kompiliert. Dieser Ansatz fragmentiert nicht nur die forensische Analysefläche - zwingt Analysten, sich zwischen verschiedenen Werkzeugen und Metadaten-Recovery-Flows zu wechseln - sondern erleichtert auch die Kombination von verwalteten und nativen Code in der gleichen ausführbar, um nützliche Lasten zu verstecken und traditionelle Erkennungen zu vermeiden.

Der dokumentierte Initialvektor nutzt eine legitime Software-Update-Funktionalität auf der SysAid-Plattform, um eine Kette von DLL Seitenrollen dass gipfelt in der Ausführung einer drosselnden DLL, die als Agent wirkt. Von dort fordert der Agent zusätzliche Module auf den C2-Server und lädt gegebenenfalls native dlls by LoadLibraryA oder montiert . NET innerhalb isolierter AppDomains, die die Rekonstruktion von Beweisen erschwert und die Sichtbarkeit der Forensik reduziert.

Über die Technik hinaus zeigt die Operation eine operative Strategie, die darauf abzielt, Vertrauensverhältnisse in der Lieferkette auszunutzen: Die Angreifer verpflichten sich zunächst zu einem IT-Anbieter, schwenken an einen zweiten Anbieter und von dort erreichen das ultimative Ziel. Die Verwendung von Remote-Management-Tools (RMM) und Remote-Desktop-Technologien im Browser ermöglicht es Aggressoren zu bestehen, sich seitlich zu bewegen und, wenn direkte Übertragungen eingeschränkt sind, sogar Missbrauchsfunktionen wie Remote-Druck auf Exfilter-Daten.

Parallel dazu haben Kampagnen, die anderen von dem iranischen Staat gesponserten Gruppen zugeschrieben wurden, in mehreren weit verbreiteten Produkten die Sicherheitslücken der Fernausübung untersucht und ausgenutzt, was eine umfassende Phase der Anerkennung anzeigt, gefolgt von gezielten Angriffen auf die Gewinnung von Anmeldeinformationen und diebstahl von Informationen in Sektoren wie Luftfahrt, Energie und öffentliche Verwaltung. Die ausgenutzten Sicherheitslücken sind auf öffentlichen Basis aufgelistet und sollten auf offiziellen Quellen überprüft werden, um Patches und Minderungen zu priorisieren.

Die Auswirkungen auf geführte Organisationen und Lieferanten sind direkt: das Vertrauen zwischen Kunden und Lieferanten ist ein Risikomultiplikator. Ein Vorfall in einem Lieferanten mit hohen Privilegien kann eine massive Zugangstür zu Kundenumgebungen werden. Darüber hinaus erhöht die Verwendung von fortschrittlichen Anti-Analyse-Techniken durch Malware die Kosten und Komplexität der Forschung und kann die Erkennung und Eindämmung Verzögerung.

Um die Exposition zu verringern und die Reaktionsfähigkeit zu verbessern, müssen die Organisationen die technischen und operativen Kontrollen stärken. Es ist entscheidend, das RMM-Ökosystem zu verschärfen: Limit Privilegien, strenge Netzwerksegmentierung anwenden, Multifaktor-Authentifizierung für Fernzugriff benötigen und die Integrität der Software-Update-Mechanismen, die sie behandeln, validieren. Sicherheitsteams sollten bestimmte Signale wie unerwartete DLL-Lasts in Drittanbieter-Service-Prozessen überwachen, die Verwendung von LoadLibraryA für Module mit anormalen Namen und wiederkehrenden Erstellung von AppDomains, die unsignierte Baugruppen hosten.

Die Erkennungs- und Antwortmaßnahmen sollten durch grundlegende, aber effektive Praktiken ergänzt werden: Aufrechterhaltung der exponierten Software und aktueller Geräte, Auditing-Konten mit Privilegien und rotierenden Anmeldeinformationen, Aktivierung detaillierter Telemetrie-Aufzeichnungen in Endpunkten und Proxys und EDR-Lösungen mit der Fähigkeit, Side-Rolling-Muster, Implementierung von gemischten nativen / verwalteten Codes und ausgehende verdächtliche Verbindungen zu unbeabsichtigten Domänen. Im Falle eines Engagements, folgen Sie einem Reaktionsplan, der Hausisolation, Ketten-of-Citody-Analyse von nativen und verwaltet umfasst. NET-Geräte und Koordination mit Lieferanten und betroffenen Dritten.

Schließlich sollten diejenigen, die öffentliche Infrastruktur oder Drittdienste verwalten, Sicherheitskontrollen in den Software-Lebenszyklus und vertragliche Vereinbarungen integrieren: regelmäßige Sicherheitsaudits, Berichtsklauseln und Leistungsfähigkeitstests. Für die technische Überwachung und die öffentlichen Verweise auf damit verbundene Bedrohungen und Schwachstellen können Ressourcen aus dem Sektor konsultiert werden, wie z. Prüfstelle Forschung und die NIST-Verwundbarkeitsdatenbank NVD sowie Microsoft technische Dokumentation über das Verhalten und Risiken im Zusammenhang mit DLs und das Laden von Bibliotheken in Windows unter Microsoft Lernen.