تستخدم مجموعة قرصنة إيرانية تابعة لوزارة الاستخبارات والأمن الإيرانية (MOIS) إطار عمل معياري للقيادة والسيطرة (C2) غير موثق سابقًا يُطلق عليه اسم Cavern (المعروف أيضًا باسم Cav3rn) ويستهدف المنظمات الإسرائيلية.
يُعزى هذا النشاط، الذي استهدف في المقام الأول مزودي تكنولوجيا المعلومات والقطاعات الحكومية، إلى مجموعة تهديدات تتبعها شركة Check Point Research تحت الاسم المستعار. كهف مانتيكور، والتي قالت إنها تشترك في مستوى معين من التداخلات التكتيكية مع MuddyWater وLyceum، والتي تم تقييم الأخيرة على أنها مجموعة فرعية داخل OilRig.
وقالت شركة الأمن السيبراني: “يعكس إطار العمل مجموعة أدوات ناضجة وقابلة للتكيف مبنية على أساس .NET مشترك، مع استخدام تنسيقات تجميع متعددة عبر مكونات مختلفة، بما في ذلك .NET Framework و.NET Mixed-Mode C++/CLI و.NET Native AOT”.
“يصبح تنسيق التجميع نفسه طبقة مضادة للتحليل تجبر المهندسين العكسيين على استخدام مجموعات أدوات متعددة وسير عمل إعادة بناء البيانات الوصفية.”
يتم استخدام مكونات إطار عمل C2 كعامل الكهف ووحدات الكهف، مما يوضح تقسيمًا واضحًا للمسؤوليات بين قدرات الاتصال الأساسية ووظائف ما بعد الاستغلال الخاصة بالمهمة. تتمتع هذه البنية بمزايا متأصلة لأنها تسمح للمشغلين بتخصيص عمليات النشر بناءً على ملف تعريف الضحية، وتقليل رؤية الطب الشرعي، وضمان الوصول المستمر من خلال وحدات مخصصة للاستطلاع، وسرقة البيانات، وحفر الأنفاق، والحركة الجانبية.
تبدأ سلسلة الهجوم الموثقة بواسطة Check Point Research بميزة تحديث برنامج SysAid، والتي يستفيد منها الخصم لبدء سلسلة تحميل جانبي لـ DLL تؤدي إلى تنفيذ ملف DLL طروادة (“uxtheme.dll”) يحتوي على Cavern Agent. يقوم الوكيل، من جانبه، بتحميل وحدة DLL للاتصالات المستقلة (“n-HTCommp.dll”) للاتصال بخادم C2 (“تثبيت المستشفى”[.]com”) وجلب وحدات إضافية لمرحلة ما بعد الاستغلال أثناء التنقل عبر HTTPS أو WebSocket.
تم الكشف عن ما يصل إلى خمس وحدات DLL –
- mhm.dllلعمليات الملفات والتعداد والبحث المتكرر عن الملفات ومعالجة الأرشيف ونقل الملفات ثنائي الاتجاه
- db.dllلتعداد قاعدة بيانات SQL والاستعلام والتصدير والمعالجة
- ode.dll، لاستطلاع Active Directory، وتعداد المستخدمين/المجموعة، ومحاولات القوة الغاشمة لـ LDAP
- n-ten.dll، لاستطلاع الشبكة، ومسح المنافذ، وتعداد المشاركة، ومحاولات القوة الغاشمة للشركات الصغيرة والمتوسطة
- n-sws.dll، لوكيل SOCKS5 ونفق WebSocket
السمة المميزة لإطار العمل هي استخدامه لثلاثة أهداف تجميع .NET مختلفة تغطي مكوناته: في حين أن mhm.dll وdb.dll وode.dll عبارة عن وحدات .NET Framework خالصة، فإن n-HTCommp.dll وn-ten.dll وn-sws.dll يستفيدون من تجميع AOT الأصلي (Ahead-of-Time). يجمع الوكيل الرئيسي، uxtheme.dll، بين كود .NET المُدار وC++ الأصلي في ملف قابل للتنفيذ محمول واحد.
يوجد داخل الوكيل مرسل وحدة موحد يتعامل مع المكونات التي تبدأ أسماؤها بـ n كمكتبات DLL أصلية ويتم تحميلها عبر LoadLibraryA Windows API، بينما يتم تفسير الباقي على أنه تجميعات .NET مُدارة ويتم تحميلها من خلال آلية تُعرف باسم عزل AppDomain.
“يعتمد موقف مكافحة التحليل في إطار العمل على تنسيقات تجميع .NET غير الشائعة (الوضع المختلط C++/CLI وNative AOT) التي تجبر المهندسين العكسيين على استخدام مجموعات أدوات متعددة وسير عمل إعادة بناء البيانات الوصفية، جنبًا إلى جنب مع عزل AppDomain لكل وحدة كإجراء مضاد للطب الشرعي،” أوضح Check Point.
تضمنت الهجمات التي نظمتها شركة Cavern Manticore انتقال ممثل التهديد من مزود تكنولوجيا المعلومات المخترق الأولي إلى مزود الخطوة الثانية قبل الوصول في النهاية إلى المنظمة المستهدفة المقصودة، مما يشير إلى قدرتهم على تسليح العلاقات الموثوقة في سلسلة توريد البرامج لصالحهم.
وأشارت الشركة إلى أن “هذا النشاط يسلط الضوء على القيمة التشغيلية للعلاقات الموثوقة مع مزودي الخدمة، لا سيما عندما يتم نشر حلول المراقبة والإدارة عن بعد (RMM).”
“من خلال إساءة استخدام هذه الأدوات، يمكن للممثل التحرك أفقيًا بين الضحايا وتقديم برامج ضارة متخفية في صورة تحديثات مشروعة. ويبدو أيضًا أن الممثل يستفيد من تقنيات سطح المكتب البعيد المستندة إلى المتصفح للوصول إلى الأهداف محل الاهتمام، وفي بعض الحالات، يسيء استخدام الميزات المضمنة مثل الطباعة عن بعد لتصفية البيانات عندما تكون قدرات النسخ واللصق ونقل الملفات المستندة إلى الحافظة مقيدة.”
ويأتي هذا التطور على خلفية العملية العسكرية المشتركة المستمرة التي تشنها إسرائيل والولايات المتحدة ضد إيران. في الأشهر الأخيرة، شوهد ممثل التهديد الإيراني الذي ترعاه الدولة باسم MuddyWater وهو يقوم بحملة استطلاع واسعة النطاق عبر أكثر من 12000 نظام معرض للإنترنت من خلال استغلال العيوب الأمنية المعروفة في أنظمة SmarterMail وn8n وN-central وLangflow وLaravel Livewire المعرضة للإنترنت.
قائمة الثغرات المستغلة هي كما يلي –
ويقال إن العملية تمحورت من الاستطلاع الواسع النطاق إلى هجمات جمع بيانات الاعتماد وتسريب البيانات ضد قطاعات الطيران والطاقة والقطاعات الحكومية في الشرق الأوسط، بما في ذلك كيانات الطيران والطاقة والقطاع العام في مصر وإسرائيل والإمارات العربية المتحدة.
وقالت شركة Oasis Security: “لقد استفادت العملية من مزيج من استغلال الثغرات الأمنية، وهجمات القوة الغاشمة لبرنامج Outlook Web Access (OWA)، ووحدات التحكم في القيادة والتحكم (C2) التي تم تحديدها حديثًا والتي تدعم الاتصالات متعددة البروتوكولات”. “تقدم النشاط إلى ما هو أبعد من محاولات الاستطلاع والوصول، مما أدى إلى تأكيد تسرب البيانات الحساسة من البيئات المعرضة للخطر”.
