Cavern C2 dùng DNS và Google Apps Script để ẩn lưu lượng điều khiển
"Researchers reported that the Cavern (Cav3rn) C2 framework used by Iranian-linked threat actors has evolved to route traffic through DNS-based decisioning, choosing between direct HTTPS and a Google Apps Script relay to blend command-and-control communications into legitimate traffic. The update adds new modular components including GoogleService.dll and rnp.dll, but no CVE is mentioned; the impact is improved stealth and persistence, with the practical fix being improved detection of abuse of legitimate cloud and DNS infrastructure."
Tăng khả năng ẩn mình của C2, làm khó phát hiện dựa trên mạng và hỗ trợ duy trì truy cập lâu dài.
Có thể làm tăng rủi ro gián điệp mạng và chi phí giám sát/phản ứng sự cố do lưu lượng trông giống hoạt động hợp lệ.
Các nhà nghiên cứu an ninh mạng ghi nhận Cavern (Cav3rn) C2 tiếp tục được phát triển theo hướng mô-đun hóa, với cơ chế mới dùng DNS A-record để chọn giữa HTTPS trực tiếp và một Google Apps Script relay cho từng phiên giao tiếp. Cách làm này giúp lưu lượng điều khiển hòa lẫn vào hoạt động hợp lệ, làm khó cho giám sát mạng và phát hiện dựa trên biên mạng.
Theo Kaspersky, bộ công cụ này bổ sung các thành phần mới như GoogleService.dll và rnp.dll. Trong đó, GoogleService.dll đọc cấu hình từ conf.json, truy vấn DNS để quyết định đường truyền, còn rnp.dll đóng vai trò cầu nối cục bộ, tải các DLL khác và hỗ trợ nâng cấp thời gian chạy. Khi chế độ Google được chọn, yêu cầu sẽ đi qua Google Apps Script rồi chuyển tiếp đến hạ tầng do kẻ tấn công kiểm soát.
Cavern được cho là phục vụ các hoạt động hậu xâm nhập như liệt kê Active Directory, quét mạng, tunneling SOCKS5 và WebSocket. Biện pháp ưu tiên là tăng cường phát hiện việc lạm dụng dịch vụ đám mây hợp lệ và hạ tầng DNS, đồng thời theo dõi bất thường ở Google Apps Script, Microsoft 365 và các miền C2 có vòng đời thay đổi nhanh.
Không có CVE nào được nêu trong báo cáo.