Wprowadzenie do problemu / definicja
Cavern C2 to rozwijany framework post-exploitation wykorzystywany w operacjach cyberszpiegowskich, którego celem jest utrzymanie ukrytej komunikacji pomiędzy zainfekowanym systemem a infrastrukturą operatora. Najnowsze ustalenia pokazują, że mechanizm ten coraz mocniej opiera się na maskowaniu ruchu w legalnych usługach chmurowych, co znacząco utrudnia jego wykrycie w środowiskach firmowych.
Kluczową zmianą jest połączenie sterowania opartego na DNS z wykorzystaniem Google Apps Script jako pośrednika dla ruchu command-and-control. Dzięki temu złośliwa aktywność może przypominać zwykłą komunikację aplikacji z powszechnie używanymi usługami internetowymi.
W skrócie
- Badacze opisali nową ewolucję frameworka Cavern C2.
- Malware wybiera kanał komunikacji na podstawie odpowiedzi DNS typu A.
- Ruch może być kierowany bezpośrednio przez HTTPS lub pośrednio przez Google Apps Script.
- Architektura obejmuje także modułowego brokera odpowiedzialnego za ładowanie bibliotek i komunikację między komponentami.
- Całość wskazuje na rosnącą elastyczność operacyjną i nacisk na unikanie wykrycia.
Kontekst / historia
Cavern został publicznie opisany jako wieloskładnikowy framework wspierający długotrwały dostęp do środowiska ofiary przy ograniczaniu śladów kryminalistycznych. Narzędzie rozwijane jest w kierunku architektury modułowej, co pozwala operatorom rozszerzać możliwości implantu bez konieczności przebudowy całego mechanizmu.
Wcześniejsze analizy wiązały Cavern z aktywnością przypisywaną podmiotom powiązanym z irańskimi operacjami APT. Wśród znanych funkcji wskazywano m.in. operacje na plikach, rozpoznanie Active Directory, enumerację baz SQL, działania wobec LDAP, rekonesans sieciowy oraz tunelowanie ruchu przez SOCKS5 i WebSocket. W poprzednich odsłonach obserwowano również wykorzystywanie legalnych usług Microsoft 365 jako ukrytych kanałów C2, a obecne ustalenia pokazują rozszerzenie tej strategii o usługi Google.
Analiza techniczna
Najważniejszym elementem nowej kampanii jest moduł GoogleService.dll. Komponent odczytuje lokalną konfigurację i wykonuje zapytanie DNS o rekord A, aby ustalić, jaką ścieżkę komunikacji powinien wybrać implant. W praktyce DNS nie służy tu wyłącznie do rozwiązywania nazw, lecz staje się lekkim mechanizmem sterującym ruchem command-and-control.
Jeżeli odpowiedź DNS wskazuje tryb pośredni, malware wysyła żądania do wdrożenia Google Apps Script, które następnie przekazuje je do właściwego zaplecza kontrolowanego przez operatora. Gdy wybrany zostaje tryb bezpośredni, komunikacja odbywa się przez HTTPS bez udziału relaya. Taki model daje atakującym możliwość dynamicznego przełączania kanałów bez przebudowy całego łańcucha infekcji.
Dodatkową korzyścią dla operatorów jest możliwość rotowania identyfikatora wdrożenia aplikacji po stronie Google. Oznacza to, że infrastruktura pomocnicza może być aktualizowana relatywnie szybko, a DNS może pełnić również rolę nośnika parametrów niezbędnych do utrzymania działania relaya.
Badacze zidentyfikowali też komponent rnp.dll, który działa jak lokalny broker pomiędzy modułami. Jego rola obejmuje wyszukiwanie i ładowanie bibliotek DLL, przekazywanie komunikatów pomiędzy komponentami oraz wspieranie aktualizacji w czasie działania frameworka. Taka architektura zwiększa elastyczność malware i pozwala rozwijać nowe funkcje w sposób bardziej dyskretny niż w przypadku monolitycznych implantów.
Z technicznego punktu widzenia istotne jest również to, że Cavern nie ogranicza się do pojedynczego kanału maskowania ruchu. Rozwój równoległych metod ukrywania komunikacji w ekosystemach chmurowych sugeruje nacisk na redundancję, odporność operacyjną i obniżenie skuteczności tradycyjnego monitoringu perymetrycznego.
Konsekwencje / ryzyko
Największe zagrożenie wynika z faktu, że ruch C2 może mieszać się z legalną aktywnością użytkowników i aplikacji korzystających z popularnych usług chmurowych. W organizacjach, które dopuszczają szeroką komunikację HTTPS do znanych platform, odróżnienie ruchu złośliwego od zwykłego staje się znacznie trudniejsze.
Wykorzystanie DNS jako mechanizmu decyzyjnego dodatkowo zwiększa odporność kampanii na zakłócenia. Atakujący mogą szybko zmieniać sposób komunikacji, parametry relaya i elementy infrastruktury bez konieczności pełnej przebudowy operacji. Dla zespołów SOC oznacza to potrzebę korelowania wielu sygnałów, takich jak zapytania DNS, nietypowe połączenia HTTPS, dynamiczne ładowanie bibliotek DLL czy anomalie w użyciu usług SaaS.
Z perspektywy organizacji ryzyko ma charakter zarówno techniczny, jak i operacyjny. Modułowy framework wspierający rekonesans, eksfiltrację i utrzymanie dostępu może zostać użyty w długotrwałych operacjach wywiadowczych, których ślady będą ograniczone i rozproszone w czasie.
Rekomendacje
Obrona przed tego typu zagrożeniami wymaga odejścia od podejścia opartego wyłącznie na pojedynczych wskaźnikach IOC. Skuteczniejsze będzie monitorowanie zachowań procesów, zależności pomiędzy zdarzeniami sieciowymi oraz sposobu użycia legalnych usług chmurowych.
- wdrożenie korelacji telemetrycznej dla ruchu DNS i HTTPS,
- analiza behawioralna aplikacji komunikujących się z usługami chmurowymi,
- monitorowanie nietypowego użycia Google Apps Script i platform biurowych jako kanałów transmisji danych,
- kontrola dynamicznie ładowanych bibliotek DLL oraz integralności komponentów,
- segmentacja sieci i ograniczanie komunikacji wychodzącej do uzasadnionych usług,
- tworzenie reguł detekcyjnych opartych na całym łańcuchu działań post-exploitation, a nie tylko na domenie lub adresie IP.
Zespoły bezpieczeństwa powinny również aktualizować playbooki reagowania na incydenty o scenariusze nadużycia legalnych usług SaaS. Coraz więcej zaawansowanych grup wykorzystuje zaufane platformy jako warstwę pośrednią dla C2, co wymaga ścisłej współpracy pomiędzy SOC, administratorami chmury, zespołami tożsamości i analitykami threat intelligence.
Podsumowanie
Cavern C2 pokazuje, jak nowoczesne frameworki cyberszpiegowskie rozwijają się w kierunku większej modularności, elastyczności i odporności na wykrycie. Połączenie DNS jako mechanizmu sterującego z Google Apps Script jako kanałem pośrednim sprawia, że klasyczne metody blokowania domen i adresów IP stają się coraz mniej skuteczne.
Dla obrońców kluczowe znaczenie mają dziś analiza behawioralna, korelacja wielowarstwowych zdarzeń oraz dobra widoczność aktywności procesów korzystających z usług chmurowych. To właśnie te obszary będą decydować o skuteczności wykrywania podobnych kampanii w przyszłości.