Cavern versteckt sich zwischen DNS, Google Apps Script und Microsoft-365-Kalendern

Iranisches Framework erweitert seine C2-Kanäle

Kaspersky hat neue Komponenten von Cavern, auch Cav3rn genannt, dokumentiert. Dabei handelt es sich um ein modulares Command-and-Control-Framework, das mit iranischen Akteuren in Verbindung steht, die gegen Organisationen in Israel aktiv sind.

Die neue Analyse vom 17. August 2026 folgt auf eine Überwachung, die im Dezember 2025 begonnen hatte. Check Point Research hatte Cavern Anfang Juli 2026 öffentlich beschrieben – als Implantat aus einem zentralen Agenten und zahlreichen Plugins für Aktivitäten nach der Kompromittierung.

Das Framework dient dazu, Persistenz aufrechtzuerhalten, forensische Spuren zu minimieren und die Funktionen an die jeweilige Operation anzupassen. Die Module können Dateien, SQL-Datenbanken, Active Directory, Netzwerke und Tunneling verwalten.

Die Aktivitäten wurden Cavern Manticore zugeschrieben, einer Gruppe, die dem iranischen Ministerium für Nachrichtendienste und Sicherheit nahestehen soll. Zudem wurden Überschneidungen mit MuddyWater und Lyceum, einer Untergruppe von OilRig, festgestellt.

GoogleService.dll wählt den Kommunikationsweg dynamisch aus

Die wichtigste von Kaspersky identifizierte Komponente ist GoogleService.dll. Das Modul liest die lokale Datei conf.json und fragt DNS-A-Records ab, um für jede Transaktion den Kommunikationskanal auszuwählen.

Es gibt zwei Möglichkeiten:

• eine direkte HTTPS-Verbindung zur in der Konfiguration angegebenen Adresse;
• eine Weiterleitung über ein Google-Apps-Script-Deployment.

Wird der Google-basierte Modus ausgewählt, sendet die Malware Anfragen an das Script. Dieses fungiert als Relay und leitet den Datenverkehr an das vom Angreifer kontrollierte Backend weiter. Im direkten Modus verbindet sich die Komponente hingegen ohne Zwischenstation mit der konfigurierten Adresse.

Über dieselbe DNS-Infrastruktur kann eine neue Deployment-ID für das Google-Relay übermittelt werden. Dadurch kann der Angreifer den Apps-Script-Kanal austauschen, ohne zwingend eine neue Version der bereits auf dem System vorhandenen DLL zu verteilen.

Die dynamische Auswahl erschwert die Erkennung. Eine Organisation könnte eine bekannte Domain oder IP-Adresse blockieren, während der nachfolgende Datenverkehr über HTTPS zu einem legitimen Dienst läuft, den Nutzer regulär verwenden. Die Domain allein ist damit als Indikator weniger verlässlich.

Ergänzt wird die Architektur durch rnp.dll, einen lokalen Broker, der verfügbare DLLs erkennt und lädt, Nachrichten zwischen den Komponenten weiterleitet und die Aktualisierung von Modulen während des laufenden Betriebs ermöglicht.

Diese Struktur erlaubt es den Betreibern, neue Funktionen hinzuzufügen, den C2-Pfad zu ändern und einzelne Fähigkeiten bereitzustellen, ohne das gesamte Framework auszutauschen.

Von der Systemkontrolle zum Tunneling im kompromittierten Netzwerk

Cavern verfügt über Plugins für Dateioperationen, die Aufzählung von SQL-Datenbanken und die Erkundung von Active Directory. Außerdem umfasst es Funktionen zur Netzwerkerkennung, für LDAP-Brute-Force-Angriffe sowie für Tunneling über SOCKS5- oder WebSocket-Proxys.

Damit eignet sich das Implantat für verschiedene Phasen eines Eindringens. Nach dem initialen Zugriff können die Betreiber Informationen über die Umgebung sammeln, interessante Konten und Systeme suchen, Befehle ausführen und Daten übertragen.

Das Tunneling ermöglicht es zudem, das kompromittierte Netzwerk als Transitpunkt zu nutzen. Der Datenverkehr des Angreifers kann dadurch andere Systeme oder Dienste erreichen und dabei interne, bereits als vertrauenswürdig eingestufte Infrastrukturen passieren.

Kaspersky zufolge erfolgte der Wechsel zu einer erweiterbaren, pluginbasierten Architektur Ende April 2026. Das Unternehmen bringt Cavern mit OilRig, auch als APT34 bekannt, in Verbindung – allerdings mit geringer Zuversicht.

Die Einschätzung basiert auf operativen Ähnlichkeiten und nicht auf einem direkten Beweis. Eine Wiederverwendung von Code oder Überschneidungen bei der Infrastruktur wurden nicht beobachtet. Zu den berücksichtigten Merkmalen zählen die Nutzung gehosteter Microsoft-Dienste für C2, Mechanismen ähnlich denen von OilBooster zur Beschaffung von Ersatz-Refresh-Tokens für OAuth sowie der Einsatz kompromittierter Infrastrukturen von Organisationen in den Zielregionen.

Auch die Geschichte der Domain studiotikva[.]com deutet auf eine kontinuierliche Weiterentwicklung hin. Die Domain wurde erstmals im Februar 2024 registriert, lief im Februar 2026 ab und wurde drei Monate später erneut registriert.

HOLLOWGRAPH verwandelt Microsoft 365-Kalender in einen C2-Kanal

Ein weiteres mit der Aktivität verbundenes Modul ist HOLLOWGRAPH. Es nutzt die Microsoft Graph API und Microsoft-365-Kalender als Command-and-Control-Kanal.

Der Mechanismus arbeitet bidirektional. Die Betreiber fügen Anweisungen in Kalenderereignisse des kompromittierten Postfachs ein. Die Malware liest diese Inhalte aus und interpretiert sie als Befehle.

Zur Exfiltration erstellt das Implantat neue Ereignisse mit gestohlenen und verschlüsselten Daten. Dateien werden als Anhänge zu den Ereignissen hinzugefügt. Die Aktivitäten werden auf den 13. Mai 2050 datiert – ein weit entferntes Datum, das verhindern soll, dass Nutzer die Termine sofort als ungewöhnlich erkennen.

HOLLOWGRAPH nutzt außerdem DNS-Tunneling, um die für die Authentifizierung bei Microsoft Graph erforderlichen Microsoft-Entra-ID-Anmeldedaten zu aktualisieren. Microsoft Entra ID ist die aktuelle Bezeichnung für Azure AD. Die neuen Werte werden in einer Textdatei auf dem Datenträger gespeichert.

Die DLL wurde mit .NET NativeAOT kompiliert und am 7. Juni 2026 erstmals in freier Wildbahn entdeckt. Der Missbrauch von Microsoft Graph erschwert die Unterscheidung des Datenverkehrs von normalen Cloud-Aktivitäten – insbesondere in Organisationen, die Outlook und Microsoft 365 intensiv nutzen.

Für die Verteidigung reicht die Überwachung der von der Malware aufgelösten Domains daher nicht aus. Es müssen Zugriffe auf die Graph API, die ungewöhnliche Erstellung von Ereignissen, verschlüsselte Anhänge und Authentifizierungen von Hosts korreliert werden, die normalerweise nicht mit den betroffenen Postfächern interagieren.

APT42 greift mit professionellen Ködern und TAMECAT an

Dieselbe Überwachung hat eine separate Kampagne aufgezeigt, die APT42 zugeschrieben wird. Die Gruppe führte Spear-Phishing-Angriffe gegen Personen mit Verbindungen zur Nuklearenergiebranche durch. Die Vorfälle wurden im April und Mai 2026 beobachtet.

Die Nachrichten enthielten als PDF-Dokumente getarnte LNK-Dateien. Die Köder verwiesen auf Podcast-Einladungen und Interviews – eine Technik, die darauf abzielt, vor der Verteilung der Malware eine glaubwürdige berufliche Beziehung aufzubauen.

Die Angriffskette führt zur Installation von TAMECAT, einem modularen Framework für Überwachung und Datensammlung. Zu seinen Funktionen gehören Discovery, die beliebige Ausführung von Befehlen, der Diebstahl von Anmeldedaten und Browser-Cookies, die Erfassung von Outlook-Postfächern im .ost-Format sowie Bildschirmaufnahmen.

Zusätzlich stehen alternative C2- und Exfiltrationskanäle zur Verfügung. Wenn der primäre Pfad nicht funktioniert oder entdeckt wird, kann der Betreiber auf alternative Methoden ausweichen, um die Kontrolle aufrechtzuerhalten und Daten zu übertragen.

APT42 wurde außerdem beim Einsatz generativer künstlicher Intelligenz beobachtet. Die KI soll verwendet worden sein, um die Entwicklung von Tools zu beschleunigen, Exploitation-Techniken zu recherchieren, Inhalte zu übersetzen, offizielle E-Mail-Adressen zu ermitteln und interessante Organisationen zu analysieren.

Was Organisationen prüfen sollten

Cavern und TAMECAT nutzen keine in einer CVE beschriebenen Produktschwachstellen aus. Daher gibt es keine CVSS-Bewertungen, formalen Schweregradeinstufungen oder speziellen Patches.

Das Risiko betrifft vielmehr die Kompromittierung von Endpunkten und den Missbrauch legitimer Dienste. Zu den möglichen Folgen gehören persistenter Zugriff, der Diebstahl von Dateien, Anmeldedaten, Cookies und E-Mail-Postfächern, die Erkundung von Verzeichnissen und Netzwerken, die Remote-Ausführung von Befehlen sowie die Nutzung der Unternehmensinfrastruktur für Tunneling.

Organisationen sollten auf unbekannte DLLs wie GoogleService.dll, rnp.dll und HOLLOWGRAPH, die Datei conf.json, Textdateien mit Microsoft-Entra-ID-Anmeldedaten sowie Prozesse achten, die vor der Verbindung zu Cloud-Diensten ungewöhnliche DNS-Anfragen durchführen.

Außerdem sollten folgende Aktivitäten analysiert werden:

• Google-Apps-Script-Deployments, die sich keinen Unternehmensnutzern oder -anwendungen zuordnen lassen;
• massenhaft erstellte Microsoft-365-Ereignisse oder Ereignisse mit dem Datum 13. Mai 2050;
• verschlüsselte Anhänge in Kalenderereignissen;
• ungewöhnliche Zugriffe auf die Microsoft Graph API;
• LNK-Dateien, die als vermeintliche PDFs verteilt werden;
• von Workstations ausgehende SOCKS5- oder WebSocket-Verbindungen;
• DNS-Anfragen mit Merkmalen, die auf Tunneling hindeuten.

Der Hersteller hat keine spezifischen Abhilfemaßnahmen genannt. Die Verteidigung muss daher EDR, DNS-Überwachung, die Kontrolle autorisierter Anwendungen, die Überprüfung von Microsoft-365-Logs und die Analyse anomalienbehafteter Aktivitäten kombinieren.

Kaspersky hält eine weitere Ausweitung von Cavern für wahrscheinlich. Die Modularität, die Fähigkeit zur Aktualisierung während des laufenden Betriebs und die verfügbaren C2-Kanäle deuten auf ein weiterhin entwickeltes und operativ eingesetztes Framework hin.