Un grupo de piratas informáticos iraní afiliado al Ministerio de Inteligencia y Seguridad de Irán (MOIS) está explotando un marco de comando y control modular (C2) previamente indocumentado llamado Cavern (también conocido como Cav3rn) para atacar a organizaciones israelíes.
Esta actividad se dirige principalmente a proveedores de TI y departamentos gubernamentales y se cree que proviene de un grupo de amenazas rastreado por Check Point Research bajo el nombre Cavern Manticore, que según la compañía tiene cierta superposición táctica con Muddy Water y Lyceum, el último de los cuales se considera un subgrupo dentro de Oil Rig.
«El marco refleja un conjunto de herramientas maduro y adaptable construido alrededor de una base .NET compartida mientras utiliza múltiples formatos de compilación en varios componentes, incluidos .NET Framework, .NET Mixed-Mode C++/CLI y .NET Native AOT», dijo la firma de ciberseguridad.
«El formato de compilación en sí se convierte en una capa antianálisis que fuerza la ingeniería inversa en múltiples conjuntos de herramientas y flujos de trabajo de reconstrucción de metadatos».
Los componentes del marco C2 se utilizan como Agente de Cavern y Módulo de Cavern, lo que demuestra una clara división de responsabilidad entre las funciones de comunicación centrales y las funciones posteriores a la explotación específicas de la misión. Esta arquitectura tiene ventajas inherentes, ya que permite a los operadores personalizar las implementaciones según los perfiles de las víctimas, reducir la visibilidad forense y garantizar el acceso persistente a través de módulos personalizados para reconocimiento, robo de datos, túneles y movimiento lateral.
La cadena de ataques documentada por Check Point Research comienza con la funcionalidad de actualización de software de SysAid. Un adversario puede aprovechar esta característica para iniciar una cadena de descarga de DLL que conduzca a la ejecución de un DLL troyanizado (‘uxtheme.dll’) que contiene el Agente Cavern. El lado del agente carga un módulo DLL de comunicación independiente (‘n-HTCommp.dll’) para conectarse al servidor C2 (‘hospitalinstallation(.)com’) y recuperar módulos adicionales posteriores a la explotación sobre la marcha a través de HTTPS o WebSockets.
Se descubrieron hasta 5 módulos DLL:
mhm.dll (para operaciones de archivos, enumeración, búsqueda recursiva de archivos, procesamiento de archivos y transferencia bidireccional de archivos) db.dll (para enumeración, consultas, exportación y operaciones de bases de datos SQL) ode.dll (para reconocimiento de Active Directory, enumeración de usuarios/grupos e intentos de fuerza bruta LDAP) n-ten.dll (para reconocimiento de red, escaneos de puertos, enumeración de recursos compartidos e intentos de fuerza bruta SMB) n-sws.dll, SOCKS5 Para túneles proxy y WebSocket
Este marco es único porque utiliza tres objetivos de compilación .NET diferentes que abarcan los componentes. mhm.dll, db.dll y ode.dll son módulos .NET Framework puros, mientras que n-HTCommp.dll, n-ten.dll y n-sws.dll utilizan compilación AOT (Ahead-of-Time) nativa. El agente principal, uxtheme.dll, combina código .NET administrado y C++ nativo en un único ejecutable portátil.
El agente incluye un despachador de módulos integrado que trata los componentes cuyos nombres comienzan con n- como archivos DLL nativos y se carga a través de la API de Windows LoadLibraryA. Los componentes restantes, por otro lado, se interpretan como ensamblados .NET administrados y se cargan mediante un mecanismo conocido como aislamiento AppDomain.
«La postura anti-analítica del marco se basa en un formato de compilación .NET poco común (C++/CLI de modo mixto y AOT nativo) que fuerza múltiples conjuntos de herramientas y flujos de trabajo de reconstrucción de metadatos para ingeniería inversa, así como AppDomains separados por módulo para protección forense», explicó Check Point.
El ataque orquestado por Cavern Manticore implicó que los atacantes pasaran de un proveedor de TI inicialmente comprometido a un proveedor de segundo salto antes de llegar finalmente a la organización objetivo prevista, lo que demuestra su capacidad para convertir en un arma las relaciones de confianza dentro de la cadena de suministro de software para su beneficio.
«Esta actividad resalta el valor operativo de las relaciones con proveedores de servicios confiables, especialmente cuando se implementan soluciones de administración y monitoreo remoto (RMM)», dijo la compañía.
«Al explotar estas herramientas, los atacantes pueden moverse lateralmente entre las víctimas y entregar software malicioso disfrazado de actualizaciones legítimas. Los atacantes también parecen estar aprovechando técnicas de escritorio remoto basadas en navegador para acceder a objetivos de interés y, en algunos casos, explotando funciones integradas como copiar y pegar con portapapeles e impresión remota cuando las capacidades de transferencia de archivos son limitadas para robar datos».
El acontecimiento se produce en el contexto de la operación militar conjunta en curso lanzada por Israel y Estados Unidos contra Irán. En los últimos meses, se ha observado que un actor de amenazas patrocinado por el estado iraní rastreado como MuddyWater explota fallas de seguridad conocidas en los sistemas SmarterMail, n8n, N-central, Langflow y Laravel Livewire expuestos a Internet y realiza extensas operaciones de reconocimiento en más de 12.000 sistemas expuestos a Internet.
La lista de vulnerabilidades explotadas es la siguiente:
Se dice que la operación pasó de un reconocimiento generalizado a una recopilación de credenciales selectiva y ataques de robo de datos contra los sectores de aviación, energía y gobierno en el Medio Oriente, incluidos los sectores de aviación, energía y público en Egipto, Israel y los Emiratos Árabes Unidos.
«Esta operación utilizó una combinación de explotación de vulnerabilidades, ataques de fuerza bruta a Outlook Web Access (OWA) y un controlador de comando y control (C2) recientemente identificado que admite comunicaciones multiprotocolo», dijo Oasis Security. «La actividad avanzó más allá de los intentos de reconocimiento y acceso, lo que resultó en la exfiltración confirmada de datos confidenciales del entorno comprometido».
Source link
