LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben, wie das iranisch ausgerichtete Cavern-C2 seine Kommunikation stärker in legitimen Datenverkehr einwebt. Ein neues Modul nutzt DNS-A-Record-Antworten, um pro Transaktion zwischen direktem HTTPS und einem Google-Apps-Script-Relay zu wechseln. Parallel missbraucht ein weiteres Update Microsoft-365-Kalenderereignisse über die Microsoft-Graph-API als bidirektionale Dead-Drop-Mechanik. Für Betreiber bedeutet das: klassische Perimeter-Checks greifen immer seltener, wenn Befehle und Datenverkehr über stark vertrauenswürdige Plattformen laufen.
Das Cavern-(Cav3rn)-Command-and-Control-(C2)-Framework entwickelt sich weiter in Richtung „unauffällig“ statt „laut“: In den jüngsten Analysen wird beschrieben, dass die Kommunikation zunehmend über Dienste läuft, die in Unternehmen ohnehin häufig genutzt werden. Damit verschiebt sich die Erkennungsaufgabe von klar identifizierbaren Malware-Treibern hin zu schwerer zu fassenden Mustern wie DNS-Entscheidungen, verschachtelten Proxys und dem Missbrauch normaler Produktiv-APIs. Besonders relevant ist dabei, dass Cavern nicht nur einen Kanal nutzt, sondern pro Transaktion entscheidet, welcher Kommunikationsweg gewählt wird.
Konkret liefert ein neu entdecktes Kommunikationsmodul laut den Angaben des Forschers ein Verfahren, das auf DNS-A-Record-Antworten basiert: Die Antwort wird genutzt, um für jede einzelne Transaktion zwischen Direct-HTTPS und einem Google-Apps-Script-Relay umzuschalten. Technisch bedeutet das, dass derselbe DNS-Mechanismus nicht nur den Zieltyp auswählt, sondern nach dem beschriebenen Prinzip auch ein Deployment- oder Relay-ID-Handling übernehmen kann. Dadurch kann der Angreifer den „Google-Kanal“ rotieren, ohne dass die Implant-Logik zwingend komplett geändert werden muss. Aus Sicht der Verteidigung ist diese Kopplung von Namensauflösung und Kommunikationsstrategie entscheidend, weil DNS-Traffic zwar oft überwacht wird, aber häufig nicht so granular mit Applikationspfaden korreliert wird.
Im nächsten Schritt wird das Framework zudem als modular und erweiterbar beschrieben, inklusive lokaler Komponenten wie eines inter-component brokers („rnp.dll“), der DLL-Module lokal findet, lädt und Nachrichten zwischen ihnen routet. Gerade diese Architektur erleichtert spätere Updates, ohne dass das gesamte Tool neu verteilt werden muss. Zusätzlich werden mehrere Funktionsbausteine genannt, die Cavern nach der Kompromittierung missionsspezifisch einsetzbar machen: Dateioperationen, Aufzählung von SQL-Datenbanken, Reconnaissance in Active Directory, LDAP-Bruteforce, Netzwerkrekonfiguration sowie SOCKS5-Proxying und WebSocket-Tunneling. Ergänzend taucht eine weitere nachgelagerte Entwicklung auf: Ein Modul namens HOLLOWGRAPH soll Microsoft-365-Kalender als covert C2-Kanal missbrauchen, indem es die Microsoft-Graph-API nutzt, um Aufgaben als Kalenderereignisse einzuspeisen und verschlüsselte Nutzdaten über angehängte Dateien wieder herauszuschleusen.
Für HOLLOWGRAPH wird außerdem ein manipulativer Detailgrad genannt, der bei der Detektion helfen oder sie erschweren kann. Laut der Beschreibung wird das Datum der Ereignisse weit in die Zukunft gesetzt, im Beispiel „13 May 2050“, um die Aufmerksamkeit des Mailbox-Besitzers zu vermeiden, während die Implant-Nutzdaten darin als verschlüsselte Dateianhänge transportiert werden. Parallel wird DNS-Tunneling eingesetzt, um Anmeldeinformationen zu erneuern: Dabei werden offenbar Microsoft-Entra-ID-(Azure-AD)-Credentials aktualisiert, die für die Graph-API-Anbindung benötigt werden, und die aktualisierten Werte sollen in einer Textdatei auf dem Datenträger abgelegt werden. Zusammen mit dem Hinweis, dass eine.NET-NativeAOT-kompilierte DLL am 7. Juni 2026 im Wilden beobachtet wurde, ergibt sich ein klarer Trend: Cavern verschiebt den Schwerpunkt der Operationslogik auf routinemäßige System- und Plattform-Schnittstellen, die in normalen Monitoring-Setups weniger streng blockiert werden.
Dass Cavern dabei nicht statisch bleibt, zeigen die Angaben zu Zeitraum und Designwechsel: Eine modular erweiterbare Plugin-Strategie soll demnach Ende April 2026 eingeführt worden sein. In dem Zusammenhang wird Cavern auch mit OilRig (APT34) in Verbindung gebracht, allerdings nur mit geringer Zuverlässigkeit und ohne direkte Code- oder Infrastrukturwiederverwendung. Als Indikatoren werden unter anderem die Nutzung Microsoft-gehosteter Services für C2 genannt, eine sekundäre Recovery-Mechanik zum Beschaffen ersetzender OAuth-Refresh-Tokens (im Vergleich zu beobachteten Oil-Booster-Verhalten) sowie die Verwendung kompromittierter Infrastrukturen aus Zielregionen, wie sie bei anderen Familien beschrieben wurden. Das Muster dahinter ist für Organisationen praktisch: Selbst wenn einzelne IOC-Listen veralten, bleibt die Systemidee gleich – Angreifer bauen ihr Kommunikationsgerüst so, dass es über „gute“ Dienste und dynamische Umschaltungen schwerer zu klassifizieren ist.
Die Cavern-Entwicklung fällt zudem in eine Phase, in der weitere iranisch ausgerichtete Aktivitäten unter Anpassungsdruck stehen. So wird in einem separaten Bericht APT42 beschrieben, das TAMECAT in Spear-Phishing-Angriffen einsetzt, die nach Angaben bis in April und Mai 2026 über LNK-Dateien liefen, die sich als PDF tarnten. Die Angriffslogik endet mit einem modularen Überwachungs- und Sammel-Framework, das unter anderem Aufzählungen und Discovery durchführt, willkürliche Befehle ausführt, Browser-Credentials und Cookies sammelt, Outlook-.ost-Postfächer ausliest, Screenshots erstellt und dazu Fallback-C2 sowie Exfiltrationsmechanismen nutzt. Auffällig ist außerdem der Hinweis, generative KI als Beschleuniger für operative Aufgaben einzusetzen – von spezialisiertem Tooling über die Recherche von Exploitationstechniken bis zur Übersetzung von Texten und dem Auffinden offizieller E-Mail-Adressen. In Summe zeigt das Zusammenspiel aus modularen C2-Bausteinen, API-basiertem Dead-Drop und KI-gestützter Vorbereitung, warum klassische Erkennung nur auf Netzwerkblöcke und einzelne Domänen immer häufiger an Grenzen stößt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cavern-C2 erweitert DNS- und Google-Apps-Script-Relay für schwer erkennbare Angriffe" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cavern-C2 erweitert DNS- und Google-Apps-Script-Relay für schwer erkennbare Angriffe" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cavern-C2 erweitert DNS- und Google-Apps-Script-Relay für schwer erkennbare Angriffe« bei Google Deutschland suchen, bei Bing oder Google News!