LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben ein modular aufgebautes Command-and-Control-Framework namens Cavern, das gezielt israelische Organisationen adressiert. Im Zentrum steht ein mehrstufiger Angriff über IT-Provider und eine versteckte DLL-Side-Loading-Kette, die einen Trojaner als scheinbar legitimes Update tarnt. Technisch fällt auf, dass die Module auf mehreren.NET-Compilation-Zielen (u. A. Native AOT und Mixed-Mode C++/CLI) laufen und so die Analyse erschweren. Für Unternehmen bedeutet das: Patch- und Lieferkettenhygiene allein reicht nicht – auch Monitoring für RMM-Umgebungen und.NET-Runtime-Indikatoren wird entscheidend.
Ein neues, bislang undokumentiertes Command-and-Control-(C2)-Framework macht in der Incident-Analyse die Runde: Cavern (auch Cav3rn). Die Zuordnung erfolgt laut Sicherheitsforschung zu einer iranisch angelehnten Angreiferstruktur, die als MOIS-affiliiert beschrieben wird und vor allem IT-Dienstleister sowie den Regierungssektor im Blick hatte. Besonders brisant ist der Ansatz, weil er nicht nur isolierte Ziele ansteuert, sondern über eine zweite-hop-Fähigkeit nach dem ersten Einstieg weitere Plattformen in der IT-Lieferkette nutzt. Dadurch wird aus einer klassischen Intrusion ein Supply-Chain-getriebenes Zugriffsmuster.
Vom technischen Design her setzt Cavern auf modular getrennte Rollen: einen zentralen Agenten, der die Kommunikation und Persistenz-Logik bündelt, sowie mission-spezifische Module für Reconnaissance, Datenabgriff, Tunneling und laterale Bewegungen. Diese Aufteilung erlaubt es den Betreibern, Deployments an das Profil eines Opfers anzupassen und die forensische Sichtbarkeit zu reduzieren. Der Kern ist dabei eine gemeinsame.NET-Basis, die in unterschiedlichen Komponenten aber mit verschiedenen Compilation-Formaten umgesetzt wird. In der Praxis heißt das: Selbst wenn Teile der Funktionalität nachvollziehbar sind, bleibt das Gesamtverhalten aufgrund heterogener Build- und Ladepfade schwer reproduzierbar.
Der dokumentierte Angriff beginnt mit einer Software-Update-Funktion von SysAid, die ausgenutzt wird, um eine DLL-Side-Loading-Kette anzustoßen. Im nächsten Schritt wird eine trojanisierte DLL (u. A. „uxtheme.dll“) eingebracht, die dann den Cavern Agent startet. Dieser wiederum lädt eine separate Kommunikations-DLL („n-HTCommp.dll“), um Kontakt zum C2-Endpunkt („hospitalinstallation[.]com“) aufzunehmen und weitere Module on the fly zu beziehen – entweder über HTTPS oder über WebSocket. Genau dieses „Fetch-by-need“-Prinzip senkt die statische Exponierung, weil Analysatoren weniger Payload in einem einzelnen Artefakt finden.
Die Ermittler nennen mehrere entdeckte DLL-Module, darunter mhm.dll (Dateioperationen, Enumeration, rekursive Suche, Archivhandling sowie bidirektionaler Transfer), db.dll (SQL-Datenbank-Enthüllung, Query/Export und Manipulation), ode.dll (Active-Directory-Recon mit User-/Group-Enumeration sowie LDAP-Bruteforce-Versuchen), n-ten.dll (Netzwerk-Recon, Port Scans, Share-Enumeration und SMB-Bruteforce) und n-sws.dll (SOCKS5-Proxying sowie WebSocket-Tunneling). Diese Granularität ist nicht nur organisatorisch, sondern auch operational: Jede Modulklasse adressiert einen klaren Schritt in der Kill-Chain und lässt sich situativ austauschen.
Was Cavern besonders von vielen üblichen C2-Builds abhebt, ist der technische Anti-Analyse-Hebel über unterschiedliche.NET-Compilation-Ziele. Während mhm.dll, db.dll und ode.dll reine.NET-Framework-Module darstellen, nutzen n-HTCommp.dll, n-ten.dll und n-sws.dll Native AOT (Ahead-of-Time). Der Agent selbst kombiniert verwalteten.NET-Code mit nativen C++-Elementen in einem einzigen portablen Executable. Zusätzlich ist ein Dispatcher eingebaut, der Komponenten anhand ihres Namensschemata unterscheidet: DLLs, deren Namen mit „n“ beginnen, werden typischerweise via LoadLibraryA geladen; die übrigen Teile laufen über AppDomain-Isolation als Anti-Forensik-Maßnahme. Historisch erinnert das an frühere Versuche, durch Polymorphie und Laufzeit-Umgehungen Reverse Engineering zu verkomplizieren – hier aber konsequent auf.NET-Werkzeugketten ausgerichtet.
Der Markt- und Bedrohungs-Kontext ordnet Cavern in ein größeres Muster ein, das bereits bei anderen Gruppen sichtbar war, etwa MuddyWater und Lyceum (als Subgruppe innerhalb OilRig bewertet). Für Security-Teams ist das wichtig, weil organisatorische Verteidigungslinien oft an „bekannten Signaturen“ hängen – während modulare C2-Frameworks auf Verhalten und Infrastrukturmerkmale setzen. In mehreren Fällen wird zudem ein indirektes Vorgehen über kompromittierte IT-Provider beschrieben, sodass das Vertrauen in bestehende Remote-Monitoring- und -Management-(RMM)-Beziehungen missbraucht werden kann. Das ist die gleiche Logik, die auch aus jüngeren Kampagnen bekannt ist, bei denen Angreifer zunächst große Reconnaissance-Flächen erschließen und anschließend gezielt Zugang und Datenabfluss priorisieren.
Verglichen mit vielen klassischen Intrusion-Playbooks verändert das Framework die Prioritäten im SOC: Anstatt nur nach dem „Payload“-Verdacht zu suchen, müssen Teams stärker auf Prozess-/Ladepfade, .NET-Runtime-Indikatoren und ungewöhnliche DLL-Side-Loading-Abläufe achten. Der dokumentierte Pivot von breit angelegter Suche hin zu Credential Harvesting und Exfiltration – inklusive sektoraler Ziele in Aviation, Energy und Government – zeigt außerdem, dass der technische Aufwand in C2 und Modularchitektur direkt an den Geschäftsimpact gekoppelt ist. Zudem wird beschrieben, dass Browser-basierte Remote-Desktop-Techniken und teils sogar Remote-Printing als Exfiltrationstrick dienen können, wenn Clipboard- oder Dateiübertragungswege eingeschränkt sind. Hier liegt auch der regulatory/Privacy-Fokus: Sobald Datenabflüsse aus Unternehmensumgebungen über Ausweichkanäle laufen, wird die Durchsetzung von Datenschutzanforderungen (z. B. Protokollierung, Zugriffskontrolle, Datenminimierung) faktisch schwer.
Für die Zukunft deutet Cavern auf eine weitere Professionalierung von modularen Windows/.NET-Stacks hin: Native AOT und Mixed-Mode C++/CLI sind keine exotischen Einzelfälle mehr, sondern werden als systematischer Anti-Analyse-Baustein verstanden. Für Entwickler und Security-Engineering bedeutet das, dass die Verteidigung nicht nur „Input validieren“ kann – sondern die gesamte Kette von Build-, Deployment- und Runtime-Ladevorgängen absichern muss. Praktisch heißt das: Patch-Management für RMM-Ökosysteme, harte Segmentierung zwischen IT-Providern und Kundenumgebungen sowie Detektion von AppDomain-isolierten Ladeverhalten und ungewöhnlichen WebSocket-/HTTPS-Modulabrufen sollten in Roadmaps ganz oben stehen. Wenn sich dieses Muster durchsetzt, werden Tools und Telemetrie für Verhaltenserkennung (nicht nur Artefakt-Signaturen) zum entscheidenden Wettbewerbsvorteil – und die nächste Welle dürfte noch stärker „on demand“-Module nachladen, um Analysefenster zu verkleinern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cavern-C2: Iran-assoziierte Angreifer nutzen Modular-Framework und.NET-AOT für Angriffe auf IT-Provider" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cavern-C2: Iran-assoziierte Angreifer nutzen Modular-Framework und.NET-AOT für Angriffe auf IT-Provider" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cavern-C2: Iran-assoziierte Angreifer nutzen Modular-Framework und.NET-AOT für Angriffe auf IT-Provider« bei Google Deutschland suchen, bei Bing oder Google News!