📰 Informação fresquinha chegando para você!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética traçaram a evolução contínua da estrutura de comando e controle (C2) Cavern (também conhecida como Cav3rn) usada por hackers do Estado-nação iraniano em ataques contra entidades em Israel.
A empresa russa de segurança cibernética Kaspersky disse que seu monitoramento contínuo do cluster de atividades de ameaças desde dezembro de 2025 levou à descoberta de componentes anteriormente não relatados que expandem as capacidades de comunicação do kit de ferramentas.
“A principal descoberta é um módulo C2 complexo que usa respostas de registro A do DNS para escolher entre HTTPS direto e uma retransmissão de script do Google Apps para cada transação”, disse Kaspersky em uma análise. “A mesma infraestrutura DNS pode validar e substituir o ID de implantação do retransmissor, permitindo que a operadora alterne o canal do Google.”
Cavern, documentado publicamente pela primeira vez pela Check Point Research no início de julho de 2026, consiste em múltiplas partes móveis, incluindo um Agente e uma variedade de módulos, que funcionam em conjunto para permitir funcionalidades pós-exploração específicas da missão, ao mesmo tempo que minimizam a visibilidade forense e garantem acesso persistente.
Os módulos facilitam operações de arquivos, enumeração de banco de dados SQL, reconhecimento do Active Directory, ataques de força bruta LDAP, reconhecimento de rede e proxy SOCKS5 e tunelamento WebSocket. O uso do Cavern C2 tem sido associado ao Cavern Manticore, um grupo de hackers afiliado ao Ministério de Inteligência e Segurança do Irã (MOIS) que compartilha sobreposições com o MuddyWater e um subgrupo OilRig conhecido como Lyceum.
Dois relatórios de acompanhamento consecutivos do Group-IB e da Kaspersky detalharam outro módulo denominado HOLLOWGRAPH, que transforma calendários do Microsoft 365 em canais C2 secretos. O malware, em particular, abusa da API Microsoft Graph para exfiltrar arquivos e receber comandos do invasor usando eventos de calendário do Microsoft 365 e tunelamento DNS para atualizar credenciais usadas na comunicação C2.
“Usando a API Microsoft Graph, ele trata o calendário da caixa de correio comprometida como um dead-drop bidirecional: os operadores plantam tarefas como eventos de calendário, e o implante exfiltra arquivos roubados criando seus próprios eventos com dados criptografados anexados”, observou o Group-IB. "Para evitar chamar a atenção do proprietário da caixa de correio, cada evento é datado de um futuro distante - 13 de maio de 2050 - com cargas úteis anexadas como arquivos ao evento."
Paralelamente, o malware emprega tunelamento DNS como forma de atualizar as credenciais do Microsoft Entra ID (Azure AD) usadas para autenticar na API Graph e gravar os valores atualizados em um arquivo de texto no disco. Uma DLL compilada pelo .NET NativeAOT, HOLLOWGRAPH, foi detectada pela primeira vez em 7 de junho de 2026.
A mudança da Cavern para uma arquitetura modular e extensível usando um sistema baseado em plugins foi avaliada como tendo ocorrido no final de abril de 2026, de acordo com a Kaspersky, que desde então a vinculou à OilRig (também conhecida como APT34) com baixa confiança, citando os seguintes indicadores, apesar de não haver reutilização direta de código ou sobreposição de infraestrutura -
Uso de serviços hospedados pela Microsoft para C2 (por exemplo, RDAT, OilCheck)
Presença de mecanismo de recuperação secundário para obter tokens de atualização OAuth substitutos, conforme observado no OilBooster
Uso de infraestrutura comprometida pertencente a entidades nas regiões visadas, conforme observado no malware Solar e Veaty
As últimas descobertas da Kaspersky são um novo módulo de comunicação, GoogleService.dll, que lê um arquivo de configuração do disco ("conf.json") e executa uma consulta de registro A de DNS para optar por HTTPS direto ou retransmissão de script do Google Apps para cada transação.
Quando o modo Google é selecionado, o módulo envia solicitações para a implantação do Apps Script, que as encaminha para o back-end controlado pelo agente da ameaça. Se HTTPS direto for escolhido pelo DNS, ele entrará em contato com o endereço configurado sem usar o relé.
O fornecedor de segurança cibernética disse que também descobriu um corretor entre componentes (“rnp.dll”) que funciona como ponte local da estrutura, que descobre e carrega componentes DLL, roteia mensagens entre eles e oferece suporte a atualizações de tempo de execução. Embora o domínio primário vinculado à atividade ("studiotikva[.]com") tenha sido registrado pela primeira vez em fevereiro de 2024, o domínio teria expirado em fevereiro de 2026, apenas para ser registrado novamente três meses depois.
O desenvolvimento é um sinal da evolução contínua da estrutura Cavern, ao mesmo tempo que depende de serviços legítimos para escapar às defesas perimetrais convencionais.
“Ao abusar de serviços legítimos – anteriormente eventos de calendário do Outlook e agora Google Apps Script – a estrutura combina seu tráfego C2 com a atividade normal da rede, complicando a detecção baseada em rede”, disse Kaspersky. "Dado o seu ritmo de desenvolvimento, design modular e ritmo operacional, avaliamos que o CAV3RN provavelmente continuará a se expandir."
APT42 ressurge com TAMECAT
A divulgação ocorre no momento em que DarkAtlas detalha o uso do TAMECAT pelo APT42 em ataques de spear-phishing direcionados a indivíduos associados a
A empresa russa de segurança cibernética Kaspersky disse que seu monitoramento contínuo do cluster de atividades de ameaças desde dezembro de 2025 levou à descoberta de componentes anteriormente não relatados que expandem as capacidades de comunicação do kit de ferramentas.
“A principal descoberta é um módulo C2 complexo que usa respostas de registro A do DNS para escolher entre HTTPS direto e uma retransmissão de script do Google Apps para cada transação”, disse Kaspersky em uma análise. “A mesma infraestrutura DNS pode validar e substituir o ID de implantação do retransmissor, permitindo que a operadora alterne o canal do Google.”
Cavern, documentado publicamente pela primeira vez pela Check Point Research no início de julho de 2026, consiste em múltiplas partes móveis, incluindo um Agente e uma variedade de módulos, que funcionam em conjunto para permitir funcionalidades pós-exploração específicas da missão, ao mesmo tempo que minimizam a visibilidade forense e garantem acesso persistente.
Os módulos facilitam operações de arquivos, enumeração de banco de dados SQL, reconhecimento do Active Directory, ataques de força bruta LDAP, reconhecimento de rede e proxy SOCKS5 e tunelamento WebSocket. O uso do Cavern C2 tem sido associado ao Cavern Manticore, um grupo de hackers afiliado ao Ministério de Inteligência e Segurança do Irã (MOIS) que compartilha sobreposições com o MuddyWater e um subgrupo OilRig conhecido como Lyceum.
Dois relatórios de acompanhamento consecutivos do Group-IB e da Kaspersky detalharam outro módulo denominado HOLLOWGRAPH, que transforma calendários do Microsoft 365 em canais C2 secretos. O malware, em particular, abusa da API Microsoft Graph para exfiltrar arquivos e receber comandos do invasor usando eventos de calendário do Microsoft 365 e tunelamento DNS para atualizar credenciais usadas na comunicação C2.
“Usando a API Microsoft Graph, ele trata o calendário da caixa de correio comprometida como um dead-drop bidirecional: os operadores plantam tarefas como eventos de calendário, e o implante exfiltra arquivos roubados criando seus próprios eventos com dados criptografados anexados”, observou o Group-IB. "Para evitar chamar a atenção do proprietário da caixa de correio, cada evento é datado de um futuro distante - 13 de maio de 2050 - com cargas úteis anexadas como arquivos ao evento."
Paralelamente, o malware emprega tunelamento DNS como forma de atualizar as credenciais do Microsoft Entra ID (Azure AD) usadas para autenticar na API Graph e gravar os valores atualizados em um arquivo de texto no disco. Uma DLL compilada pelo .NET NativeAOT, HOLLOWGRAPH, foi detectada pela primeira vez em 7 de junho de 2026.
A mudança da Cavern para uma arquitetura modular e extensível usando um sistema baseado em plugins foi avaliada como tendo ocorrido no final de abril de 2026, de acordo com a Kaspersky, que desde então a vinculou à OilRig (também conhecida como APT34) com baixa confiança, citando os seguintes indicadores, apesar de não haver reutilização direta de código ou sobreposição de infraestrutura -
Uso de serviços hospedados pela Microsoft para C2 (por exemplo, RDAT, OilCheck)
Presença de mecanismo de recuperação secundário para obter tokens de atualização OAuth substitutos, conforme observado no OilBooster
Uso de infraestrutura comprometida pertencente a entidades nas regiões visadas, conforme observado no malware Solar e Veaty
As últimas descobertas da Kaspersky são um novo módulo de comunicação, GoogleService.dll, que lê um arquivo de configuração do disco ("conf.json") e executa uma consulta de registro A de DNS para optar por HTTPS direto ou retransmissão de script do Google Apps para cada transação.
Quando o modo Google é selecionado, o módulo envia solicitações para a implantação do Apps Script, que as encaminha para o back-end controlado pelo agente da ameaça. Se HTTPS direto for escolhido pelo DNS, ele entrará em contato com o endereço configurado sem usar o relé.
O fornecedor de segurança cibernética disse que também descobriu um corretor entre componentes (“rnp.dll”) que funciona como ponte local da estrutura, que descobre e carrega componentes DLL, roteia mensagens entre eles e oferece suporte a atualizações de tempo de execução. Embora o domínio primário vinculado à atividade ("studiotikva[.]com") tenha sido registrado pela primeira vez em fevereiro de 2024, o domínio teria expirado em fevereiro de 2026, apenas para ser registrado novamente três meses depois.
O desenvolvimento é um sinal da evolução contínua da estrutura Cavern, ao mesmo tempo que depende de serviços legítimos para escapar às defesas perimetrais convencionais.
“Ao abusar de serviços legítimos – anteriormente eventos de calendário do Outlook e agora Google Apps Script – a estrutura combina seu tráfego C2 com a atividade normal da rede, complicando a detecção baseada em rede”, disse Kaspersky. "Dado o seu ritmo de desenvolvimento, design modular e ritmo operacional, avaliamos que o CAV3RN provavelmente continuará a se expandir."
APT42 ressurge com TAMECAT
A divulgação ocorre no momento em que DarkAtlas detalha o uso do TAMECAT pelo APT42 em ataques de spear-phishing direcionados a indivíduos associados a
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #cavern #c2 #usa #dns #e #script #do #google #apps #para #se #misturar #ao #tráfego #legítimo
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário