Hackers iranianos usam DNS e scripts do Google para evitar detecção
O framework Cavern C2 aproveita serviços legítimos como DNS e Google Apps Script para mascarar tráfego malicioso. Essa técnica ajuda os atacantes a se misturarem enquanto atacam entidades israelenses.
TL;DR
- Hackers patrocinados pelo Irã estão usando o framework Cavern C2 em ataques direcionados.
- O malware se comunica através de consultas DNS e Google Apps Script para evitar detecção.
- A Kaspersky descobriu novos componentes do kit Cavern ativos desde o final de 2025.
- Atacantes abusam plataformas confiáveis para imitar comportamentos normais de usuários.
- Organizações devem monitorar uso anômalo de ferramentas colaborativas comuns.
Uma campanha recentemente analisada por agentes estatais iranianos revela como ameaças persistentes avançadas continuam a evoluir suas táticas para permanecerem indetectáveis. O grupo, rastreado usando o framework de comando e controle Cavern (ou Cav3rn), foi observado utilizando serviços amplamente usados, como DNS e Google Apps Script, para disfarçar comunicações maliciosas.
A empresa de segurança Kaspersky detalhou suas descobertas após monitorar essa atividade desde dezembro de 2025. Sua análise revelou módulos anteriormente desconhecidos dentro da infraestrutura Cavern, destacando a capacidade do grupo de se adaptar e manter sigilo durante operações prolongadas contra alvos específicos em Israel.
Abuso de Serviços Legítimos
- O Cavern utiliza tunelamento DNS para enviar comandos e receber dados de sistemas comprometidos.
- O Google Apps Script é abusado para hospedar cargas maliciosas e transmitir informações de forma encoberta.
- Esses métodos ajudam o malware a evadir detecções baseadas em rede ao se misturar em padrões normais de tráfego.
- Serviços legítimos na nuvem frequentemente são incluídos na lista de permissões, tornando-os canais ideais para comunicação dos atacantes.
Considerações Defensivas
- Organizações devem implementar análises comportamentais para detectar uso incomum de plataformas colaborativas.
- Monitorar volumes e anomalias nas consultas DNS de saída pode ajudar a identificar possíveis atividades de C2.
- Restringir acesso a ambientes de script como o Google Apps Script pode reduzir a superfície de ataque.
- Inteligência sobre conjuntos de ferramentas de grupos estatais, como o Cavern, pode melhorar estratégias proativas de defesa.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.