Nhóm liên kết Iran dùng khung C2 Cavern để tấn công tổ chức tại Israel
"An Iran-linked threat group associated with MOIS deployed a previously undocumented modular C2 framework called Cavern (Cav3rn) against Israeli organizations, with activity focused on IT providers and government sectors. The campaign used DLL side-loading via SysAid update features, trojanized modules, and multi-stage post-exploitation tooling for reconnaissance, data theft, tunneling, and lateral movement; the article also notes related MuddyWater operations exploiting multiple vulnerabilities including CVE-2025-52691, CVE-2025-68613, CVE-2025-9316, CVE-2025-34291, and CVE-2025-54068."
Tác động đáng kể do chuỗi tấn công lợi dụng DLL side-loading từ kênh cập nhật hợp lệ và triển khai C2 theo mô-đun, giúp duy trì truy cập và mở rộng phạm vi. Điểm then chốt gồm Native AOT/Mixed-Mode để gây khó cho phân tích, cùng AppDomain isolation nhằm giảm dấu vết điều tra.
Nguy cơ gián đoạn và rò rỉ dữ liệu tăng, đặc biệt khi nhắm vào nhà cung cấp IT và khu vực chính phủ. Việc lạm dụng quan hệ tin cậy trong chuỗi cung ứng có thể dẫn tới lan truyền sang nhiều khách hàng và ảnh hưởng dịch vụ vận hành.
Một nhóm tin tặc liên kết với MOIS đã triển khai khung C2 modular mới mang tên Cavern (Cav3rn) nhằm nhắm mục tiêu các tổ chức tại Israel. Theo đánh giá của Check Point Research, chiến dịch tập trung vào nhà cung cấp IT và khu vực chính phủ, đồng thời có điểm trùng lặp chiến thuật với các cụm như MuddyWater và Lyceum.
Chuỗi tấn công bắt đầu từ tính năng cập nhật phần mềm của SysAid, bị lạm dụng để kích hoạt DLL side-loading dẫn tới thực thi một DLL bị trojan hóa (uxtheme.dll) chứa thành phần tác nhân Cavern Agent. Tác nhân này sau đó tải module giao tiếp n-HTCommp.dll để liên hệ máy chủ C2 (hospitalinstallation[.]com) và nhận thêm module hậu khai thác qua HTTPS/WebSocket.
Khung Cavern sử dụng kiến trúc tách vai trò giữa agent và các module nhiệm vụ, hỗ trợ trinh sát, đánh cắp dữ liệu, tunneling và di chuyển ngang. Dữ liệu kỹ thuật nêu rõ việc dùng nhiều định dạng biên dịch .NET (bao gồm Native AOT và Mixed-Mode C++/CLI) cùng cơ chế AppDomain isolation để tăng khả năng chống phân tích.
Khuyến nghị: rà soát hệ thống dùng SysAid và các thành phần .NET liên quan, tăng giám sát hành vi side-loading, kiểm tra lưu lượng bất thường tới các endpoint C2, và ưu tiên vá các lỗ hổng được nêu trong chiến dịch liên quan MuddyWater như CVE-2025-52691, CVE-2025-68613, CVE-2025-9316, CVE-2025-34291, CVE-2025-54068.