Pesquisadores de cibersegurança acompanharam a evolução contínua da estrutura de comando e controle C2 Cavern, também conhecida como Cav3rn, usada por hackers ligados ao Estado iraniano em ataques contra entidades em Israel.
A empresa russa de cibersegurança Kaspersky afirmou que o monitoramento contínuo desse grupo de atividade desde dezembro de 2025 levou à descoberta de componentes antes não reportados, ampliando as capacidades de comunicação da ferramenta.
“A principal descoberta é um módulo C2 complexo que usa respostas de registros DNS A para escolher, em cada transação, entre HTTPS direto e um relay via Google Apps Script”, disse a Kaspersky em uma análise. “A mesma infraestrutura DNS pode validar e substituir o ID de implantação do relay, permitindo que o operador alterne o canal do Google.”
O Cavern, documentado publicamente pela primeira vez pela Check Point Research no início de julho de 2026, é composto por várias partes, incluindo um Agent e um conjunto de módulos que atuam em conjunto para habilitar funcionalidades de pós-exploração específicas da missão, ao mesmo tempo em que reduzem a visibilidade forense e garantem acesso persistente.
Os módulos permitem operações com arquivos, enumeração de bancos de dados SQL, reconhecimento em Active Directory, ataques de força bruta a LDAP, reconhecimento de rede e túneis SOCKS5 proxy e WebSocket. O uso do C2 Cavern foi associado ao Cavern Manticore, um grupo de hackers ligado ao Ministério da Inteligência e Segurança do Irã, o MOIS, que apresenta sobreposições com MuddyWater e com um subgrupo do OilRig conhecido como Lyceum.
Dois relatórios sucessivos da Group-IB e da Kaspersky detalharam outro módulo, batizado de HOLLOWGRAPH, que transforma calendários do Microsoft 365 em canais ocultos de C2. O malware, em particular, abusa da API Microsoft Graph para exfiltrar arquivos e receber comandos do atacante usando eventos de calendário do Microsoft 365, além de recorrer a DNS tunneling para atualizar credenciais usadas na comunicação com o C2.
“Usando a API Microsoft Graph, ele trata o calendário da caixa de correio comprometida como um ponto morto bidirecional: os operadores inserem as tarefas como eventos de calendário, e o implantado exfiltra os arquivos roubados criando seus próprios eventos com dados criptografados anexados”, observou a Group-IB. “Para evitar chamar a atenção do proprietário da caixa de correio, todos os eventos são datados muito no futuro, 13 de maio de 2050, com os payloads anexados como arquivos ao evento.”
Em paralelo, o malware usa DNS tunneling como forma de renovar as credenciais do Microsoft Entra ID, anteriormente Azure AD, usadas para autenticação na API Graph e grava os valores atualizados em um arquivo de texto no disco. A DLL HOLLOWGRAPH, compilada com .NET NativeAOT, foi detectada pela primeira vez em atividade real em 7 de junho de 2026.
Segundo a Kaspersky, a mudança do Cavern para uma arquitetura modular e extensível, baseada em plugins, teria ocorrido no fim de abril de 2026. Desde então, a empresa passou a associá-lo ao OilRig, também conhecido como APT34, com baixa confiança, com base nos seguintes indícios, embora não tenha identificado reaproveitamento direto de código nem sobreposição de infraestrutura:
- uso de serviços hospedados pela Microsoft para C2, como RDAT e OilCheck;
- presença de um mecanismo secundário de recuperação para obter tokens OAuth de atualização substitutos, como observado no OilBooster;
- uso de infraestrutura comprometida pertencente a entidades em regiões que o grupo ataca, como observado nos malwares Solar e Veaty.
Os achados mais recentes da Kaspersky incluem um novo módulo de comunicação, o GoogleService.dll, que lê um arquivo de configuração do disco, chamado “conf.json”, e faz uma consulta DNS de registro A para escolher, em cada transação, entre HTTPS direto ou um relay via Google Apps Script.
Quando o modo Google é selecionado, o módulo envia requisições para a implantação do Apps Script, que então as encaminha para o backend controlado pelo threat actor. Se o DNS indicar HTTPS direto, ele se conecta ao endereço configurado sem usar o relay.
A empresa de cibersegurança informou também ter descoberto um broker entre componentes, o “rnp.dll”, que funciona como ponte local da estrutura, localizando e carregando componentes DLL, encaminhando mensagens entre eles e oferecendo suporte a atualizações em tempo de execução. Embora o domínio principal ligado à atividade, “studiotikva[.]com”, tenha sido registrado pela primeira vez em fevereiro de 2024, o domínio teria expirado em fevereiro de 2026, para então ser registrado novamente três meses depois.
O desenvolvimento indica uma evolução contínua da estrutura Cavern, que vem se apoiando em serviços legítimos para driblar defesas perimetrais convencionais.
“Ao abusar de serviços legítimos, antes eventos do calendário do Outlook e agora o Google Apps Script, a estrutura mistura seu tráfego de C2 com a atividade normal da rede, complicando a detecção baseada em rede”, afirmou a Kaspersky. “Dado o ritmo de desenvolvimento, o design modular e o tempo operacional, avaliamos que o CAV3RN provavelmente continuará a se expandir.”
APT42 ressurge com TAMECAT
A divulgação ocorre no momento em que a DarkAtlas detalhou o uso do TAMECAT pela APT42 em ataques de spear phishing contra indivíduos associados ao setor de energia nuclear, mais recentemente em abril e maio de 2026, por meio de arquivos LNK disfarçados de documentos PDF.
“O tema de engenharia social usou convites para podcasts e entrevistas, mantendo a preferência do grupo por interações profissionais críveis antes da entrega do malware”, disse a DarkAtlas.
A cadeia de ataque culmina na implantação do TAMECAT, uma estrutura modular de vigilância e coleta que oferece suporte a enumeração, descoberta, execução de comandos arbitrários, coleta de credenciais e cookies do navegador, coleta de caixas de correio .ost do Outlook, captura de tela e mecanismos alternativos de C2 e exfiltração.
Também foi observado que o grupo de hackers iraniano usa inteligência artificial generativa, IA, para acelerar suas operações, incluindo o desenvolvimento de ferramentas especializadas, pesquisa de técnicas de exploração, tradução de idiomas, identificação de endereços de e-mail oficiais e investigação de entidades de interesse.
“A APT42 continua sendo uma ameaça de coleta de inteligência cuja vantagem vem do direcionamento paciente a alvos humanos, agora acelerado por IA e sustentado por malware mais resiliente quando necessário”, disse a DarkAtlas.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...