Cavern se dissimule entre DNS, Google Apps Script et les calendriers Microsoft 365

Un framework iranien étend ses canaux C2

Kaspersky a documenté de nouveaux composants de Cavern, également connu sous le nom de Cav3rn, un framework modulaire de commande et de contrôle associé à des acteurs iraniens ciblant des organisations en Israël.

Cette nouvelle analyse, publiée le 17 août 2026, fait suite à une surveillance entamée en décembre 2025. Check Point Research avait révélé Cavern début juillet 2026, le décrivant comme un implant composé d’un agent central et de nombreux plugins destinés aux opérations post-compromission.

Le framework est conçu pour maintenir la persistance, réduire les traces forensiques et adapter ses fonctionnalités à chaque opération. Ses modules peuvent gérer les fichiers, les bases de données SQL, Active Directory, le réseau et le tunneling.

L’activité a été attribuée à Cavern Manticore, un groupe considéré comme proche du ministère iranien du Renseignement et de la Sécurité. Des éléments de recoupement avec MuddyWater et Lyceum, un sous-groupe d’OilRig, ont également été relevés.

GoogleService.dll sélectionne dynamiquement le canal de communication

Le composant le plus important identifié par Kaspersky est GoogleService.dll. Le module lit le fichier local conf.json et interroge le DNS via des enregistrements A afin de déterminer, transaction par transaction, le canal de communication à utiliser.

Deux possibilités sont prévues :

• une connexion HTTPS directe vers l’adresse indiquée dans la configuration ;
• un relais via un déploiement Google Apps Script.

Lorsque le mode reposant sur Google est sélectionné, le malware envoie ses requêtes au script. Celui-ci agit comme un relais et transmet le trafic au backend contrôlé par l’opérateur. En mode direct, le composant contacte sans intermédiaire l’adresse configurée.

La même infrastructure DNS peut transmettre un nouvel identifiant de déploiement pour le relais Google. L’attaquant peut ainsi remplacer le canal Apps Script sans devoir distribuer une nouvelle version de la DLL déjà présente sur le système.

Cette sélection dynamique complique la détection. Une organisation peut bloquer un domaine ou une adresse connus, mais le trafic ultérieur peut transiter en HTTPS par un service légitime utilisé quotidiennement par les employés. Le domaine seul devient donc un indicateur moins fiable.

L’architecture comprend également rnp.dll, un broker local qui détecte et charge les DLL disponibles, achemine les messages entre les composants et permet de mettre à jour les modules pendant l’exécution de l’implant.

Cette structure permet aux opérateurs d’ajouter des fonctionnalités, de modifier le chemin du C2 et de distribuer les capacités sans remplacer l’intégralité du framework.

Du contrôle des systèmes au tunneling au sein du réseau compromis

Cavern dispose de plugins dédiés aux opérations sur les fichiers, à l’énumération des bases de données SQL et à la reconnaissance d’Active Directory. Il inclut également des fonctions de découverte du réseau, de brute force LDAP et de tunneling via des proxys SOCKS5 ou WebSocket.

L’implant est ainsi adapté à plusieurs phases de l’intrusion. Après l’accès initial, les opérateurs peuvent recueillir des informations sur l’environnement, rechercher des comptes et des systèmes d’intérêt, exécuter des commandes et transférer des données.

Le tunneling permet également d’utiliser le réseau compromis comme point de transit. Le trafic de l’attaquant peut ainsi atteindre d’autres systèmes ou services en passant par des infrastructures internes déjà considérées comme fiables.

Selon Kaspersky, le passage à une architecture extensible basée sur des plugins aurait eu lieu fin avril 2026. L’entreprise associe Cavern à OilRig, également connu sous le nom d’APT34, avec un faible niveau de confiance.

Cette évaluation repose sur des similitudes opérationnelles et non sur une preuve directe. Aucun réemploi de code ni chevauchement d’infrastructures n’a été observé. Parmi les éléments pris en compte figurent l’utilisation de services Microsoft hébergés pour le C2, des mécanismes similaires à ceux d’OilBooster pour obtenir des jetons de renouvellement OAuth de remplacement, ainsi que l’utilisation d’infrastructures compromises appartenant à des organisations situées dans les zones ciblées.

L’historique du domaine studiotikva[.]com suggère également une continuité dans le développement. Le domaine avait été enregistré pour la première fois en février 2024, avait expiré en février 2026, puis avait été enregistré de nouveau trois mois plus tard.

HOLLOWGRAPH transforme le calendrier Microsoft 365 en canal C2

Un autre module associé à cette activité est HOLLOWGRAPH, conçu pour utiliser les API Microsoft Graph et les calendriers Microsoft 365 comme canal de commande et de contrôle.

Le mécanisme est bidirectionnel. Les opérateurs insèrent des instructions dans les événements du calendrier de la boîte aux lettres compromise. Le malware lit ces contenus et les interprète comme des commandes.

Pour l’exfiltration, l’implant crée de nouveaux événements contenant les données volées et chiffrées. Les fichiers sont ajoutés aux événements sous forme de pièces jointes. Les activités sont planifiées au 13 mai 2050, une date éloignée qui devrait réduire le risque que l’utilisateur identifie immédiatement ces rendez-vous comme anormaux.

HOLLOWGRAPH utilise également le tunneling DNS pour mettre à jour les identifiants Microsoft Entra ID, anciennement Azure AD, nécessaires à l’authentification auprès de Microsoft Graph. Les nouvelles valeurs sont enregistrées dans un fichier texte sur le disque.

La DLL a été compilée avec .NET NativeAOT et a été détectée pour la première fois en circulation le 7 juin 2026. L’abus de Microsoft Graph rend le trafic plus difficile à distinguer des activités cloud normales, notamment dans les organisations qui utilisent intensivement Outlook et Microsoft 365.

Pour les défenseurs, la visibilité ne peut pas se limiter aux domaines résolus par le malware. Il faut corréler les accès aux API Graph, la création inhabituelle d’événements, les pièces jointes chiffrées et les authentifications provenant d’hôtes qui n’interagissent normalement pas avec les boîtes aux lettres concernées.

APT42 frappe avec des leurres professionnels et TAMECAT

La même activité de surveillance a mis en évidence une campagne distincte attribuée à APT42. Le groupe a mené des attaques de spear phishing contre des personnes liées au secteur de l’énergie nucléaire, avec des incidents détectés en avril et mai 2026.

Les messages utilisaient des fichiers LNK présentés comme des documents PDF. Les leurres faisaient référence à des invitations pour des podcasts et des interviews, une technique cohérente avec l’établissement d’une relation professionnelle crédible avant la distribution du malware.

La chaîne d’attaque aboutit à l’installation de TAMECAT, un framework modulaire de surveillance et de collecte. Ses fonctionnalités comprennent la découverte, l’exécution arbitraire de commandes, le vol d’identifiants et de cookies de navigateur, la récupération des boîtes aux lettres Outlook au format .ost et la capture d’écran.

Des canaux C2 et d’exfiltration de secours sont également disponibles. Si le chemin principal ne fonctionne plus ou est détecté, l’opérateur peut donc tenter d’autres méthodes pour conserver le contrôle et transférer les données.

APT42 a par ailleurs été observé dans l’utilisation d’outils d’intelligence artificielle générative. L’IA aurait servi à accélérer le développement d’outils, rechercher des techniques d’exploitation, traduire des contenus, identifier des adresses e-mail officielles et analyser des organisations d’intérêt.

Ce que les organisations doivent surveiller

Cavern et TAMECAT n’exploitent pas une vulnérabilité produit identifiée par un CVE. Aucun score CVSS, aucune classification formelle de gravité ni aucun correctif dédié ne sont donc disponibles.

Le risque concerne plutôt la compromission des endpoints et l’abus de services légitimes. Les conséquences peuvent inclure la persistance, le vol de fichiers, d’identifiants, de cookies et de boîtes aux lettres électroniques, la reconnaissance des annuaires et des réseaux, l’exécution à distance et l’utilisation de l’infrastructure de l’entreprise pour le tunneling.

Les organisations doivent prêter attention aux DLL inconnues telles que GoogleService.dll, rnp.dll et HOLLOWGRAPH, au fichier conf.json, aux fichiers texte contenant des identifiants Entra ID et aux processus qui effectuent des requêtes DNS inhabituelles avant de se connecter à des services cloud.

Les éléments suivants doivent également être analysés :

• les déploiements Google Apps Script qui ne peuvent pas être rattachés à des utilisateurs ou applications de l’entreprise ;
• les événements Microsoft 365 créés en masse ou datés du 13 mai 2050 ;
• les pièces jointes chiffrées ajoutées à des événements du calendrier ;
• les accès inhabituels aux API Microsoft Graph ;
• les fichiers LNK distribués comme de prétendus PDF ;
• les connexions SOCKS5 ou WebSocket émises depuis des postes de travail ;
• les requêtes DNS présentant des caractéristiques compatibles avec du tunneling.

Le fournisseur n’a indiqué aucune mesure d’atténuation spécifique. La défense doit donc combiner EDR, surveillance DNS, contrôle des applications autorisées, analyse des journaux Microsoft 365 et détection des comportements anormaux.

Kaspersky juge probable une nouvelle extension de Cavern. Sa modularité, sa capacité à se mettre à jour pendant son exécution et la disponibilité de plusieurs canaux C2 indiquent un framework encore en développement et utilisé dans des opérations actives.