Een Iraanse hackinggroep die gelinkt is aan het Ministerie van Inlichtingen en Veiligheid (MOIS) van Iran maakt gebruik van een nieuw, modulair command-and-control (C2) framework genaamd Cavern (ook wel Cav3rn) om Israëlische organisaties te bespioneren en aan te vallen. De aanvallen richten zich vooral op IT-dienstverleners en overheidssectoren. Check Point Research volgt deze dreiging onder de naam Cavern Manticore en stelt dat het framework tactische overeenkomsten vertoont met andere bekende groepen zoals MuddyWater en Lyceum, een subgroep van OilRig, aldus Check Point.

Het Cavern-framework is gebaseerd op een gedeelde .NET-basis en gebruikt meerdere compilatieformaten, waaronder .NET Framework, Mixed-Mode C++/CLI en Native AOT. Deze variatie in compilatievormen dient als anti-analyselaag, waardoor reverse engineers verschillende tools en workflows moeten inzetten om de malware te ontleden. Het framework bestaat uit een hoofdcomponent, de Cavern Agent, en diverse modules die specifieke taken uitvoeren zoals verkenning, datadiefstal, tunneling en laterale beweging binnen netwerken. Deze modulaire opbouw maakt het mogelijk om de malware-aanpak aan te passen aan het profiel van het slachtoffer, de forensische zichtbaarheid te verminderen en persistente toegang te behouden.

De aanvalsketen begint met het misbruiken van de software-updatefunctie van SysAid, waarmee een DLL side-loading keten wordt gestart. Dit leidt tot de uitvoering van een getrojaniseerde DLL ('uxtheme.dll') die de Cavern Agent bevat. Deze agent laadt vervolgens een communicatie-DLL ('n-HTCommp.dll') die verbinding maakt met een C2-server en dynamisch extra modules ophaalt via HTTPS of WebSocket. Onder de gevonden modules bevinden zich onder andere mhm.dll voor bestandsoperaties, db.dll voor SQL-database-interacties, ode.dll voor Active Directory-verkenning, n-ten.dll voor netwerkverkenning en n-sws.dll voor SOCKS5-proxy en WebSocket-tunneling.

Een opvallend kenmerk van het framework is het gebruik van drie verschillende .NET compilatietypes binnen de componenten. Zo zijn mhm.dll, db.dll en ode.dll pure .NET Framework modules, terwijl n-HTCommp.dll, n-ten.dll en n-sws.dll gebruikmaken van Native AOT. De hoofdagent combineert managed .NET-code met native C++ in één uitvoerbaar bestand. Binnen de agent is een module dispatcher ingebouwd die componenten met een naam die begint met 'n-' als native DLL's behandelt en laadt via de Windows API LoadLibraryA, terwijl de overige modules als managed .NET-assemblies worden geladen via AppDomain isolation. Deze aanpak draagt bij aan anti-forensische maatregelen en bemoeilijkt analyse.

De aanvallen van Cavern Manticore laten zien dat de dreigingsactoren in staat zijn om via een eerste gecompromitteerde IT-dienstverlener door te dringen naar een tweede dienstverlener, voordat ze uiteindelijk het beoogde doelwit bereiken. Dit wijst op het strategisch misbruiken van vertrouwde relaties binnen de softwareleveringsketen om hun aanvallen uit te voeren.