Cavern-Framework: Iranische Hacker nutzen DNS und Google Apps Script
Veröffentlicht am: 18.08.2026 um 00:41 Uhr | Redaktion boerse-global.de
Sicherheitsexperten haben eine neue Schadsoftware-Infrastruktur identifiziert, die hochgradig flexible Kommunikationswege nutzt, um Entdeckungsmassnahmen zu umgehen. Das als „Cavern“ bezeichnete Command-and-Control-Framework (C2) zeichnet sich dadurch aus, dass es DNS-Antworten verwendet, um situativ zwischen verschiedenen Übertragungswegen für Datenpakete zu wählen.
Analysten von Kaspersky berichteten, dass das Framework bei jeder einzelnen Transaktion neu entscheidet, ob eine direkte HTTPS-Verbindung zum Angreifer-Server aufgebaut oder ein Relay über Google Apps Script genutzt wird.
Diese Entscheidung wird über DNS-Antworten, sogenannte A-Records, gesteuert. Durch diese dynamische Rotation der Kommunikationskanäle erschwert die Software die Analyse des Netzwerkverkehrs und die Blockierung durch Sicherheitslösungen.
Modulare Architektur und Cloud-Abhängigkeit
Das Herzstück dieser technischen Komponente bildet laut den Untersuchungen das Modul GoogleService.dll. Diese Datei ist dafür zuständig, eine Konfigurationsdatei namens conf.json auszulesen und die notwendigen DNS-A-Records abzufragen.
Auf Basis dieser Informationen kann das Modul den genutzten Google-Kanal eigenständig rotieren. Ergänzt wird die Architektur durch einen Inter-Komponenten-Broker mit der Bezeichnung rnp.dll, der speziell dafür entwickelt wurde, Upgrades der Software während der Laufzeit zu unterstützen.
Im Rahmen der Infrastruktur-Analyse wurde zudem festgestellt, dass die Domain studiotikva[.]com im Mai 2026 nach ihrem regulären Ablauf neu registriert wurde, um mutmasslich für die Operationen des Frameworks genutzt zu werden.
Angesichts immer komplexerer Bedrohungen durch hochspezialisierte Angreifer-Frameworks wird ein proaktiver Schutz für Firmen unerlässlich. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und technischen Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken verstehen
Die Experten von Kaspersky bringen Cavern mit einer iranischen Gruppierung namens Manticore in Verbindung, die dem Ministerium für Geheimdienste und nationale Sicherheit (MOIS) zugerechnet wird. Dabei zeigten sich technologische Überschneidungen mit Aktivitäten anderer bekannter Akteure wie MuddyWater und Lyceum, einer Untergruppe von OilRig.
Missbrauch von Microsoft-365-Diensten
Parallel zu den Erkenntnissen von Kaspersky veröffentlichten Analysten von Group-IB Details zu einem spezifischen Modul namens HOLLOWGRAPH, das mit hoher Konfidenz dem Cavern-Framework zugeordnet wird. Dieses Modul nutzt Microsoft-365-Kalender als bidirektionalen C2-Kanal. Die Kommunikation erfolgt hierbei über die Microsoft Graph API, wobei Kalendereinträge als Speicherort für Befehle und exfiltrierte Daten dienen.
Laut Group-IB wurden im Rahmen dieser Kampagne mindestens 12 betroffene Systeme bestätigt, von denen 3 zum Zeitpunkt der Berichterstattung noch aktiv waren. Der geografische Schwerpunkt der Angriffe lag dabei auf israelischen Organisationen.
Die ersten Beobachtungen dieser Aktivitäten datieren auf den 3. Juni 2026, während die letzten Aktivitäten für den 9. Juli 2026 dokumentiert wurden. Kaspersky gab an, das HOLLOWGRAPH-Modul erstmals am 7. Juni 2026 erkannt zu haben.
Verschleierung durch DNS-Tunneling
Da staatlich motivierte Cyber-Operationen zunehmend legitime Cloud-Dienste für ihre Zwecke missbrauchen, benötigen Unternehmen fundierte Abwehrstrategien. Das Gratis-E-Book enthüllt, wie Sie Sicherheitslücken effektiv schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit ohne teure Investitionen stärken
Eine weitere Besonderheit von HOLLOWGRAPH ist die Nutzung von DNS-AAAA-Tunneling, um Anmeldedaten für die Angreifer-Infrastruktur zu aktualisieren. Um die bösartigen Kalenderereignisse innerhalb der Microsoft-Umgebung unauffälliger zu gestalten, wurden diese teilweise mit einem Datum in ferner Zukunft versehen, konkret dem 13. Mai 2050.
Die Kombination aus dem Missbrauch legitimer Cloud-Dienste von Google und Microsoft sowie der dynamischen Steuerung über DNS-Einträge unterstreicht die wachsende Komplexität staatlich motivierter Cyber-Operationen.
Durch die Nutzung von Diensten, die in den meisten Unternehmensnetzwerken standardmässig freigeschaltet sind, gelingt es den Akteuren, ihre bösartigen Aktivitäten im regulären Datenverkehr zu verbergen. Fachleute raten Organisationen dazu, insbesondere ungewöhnliche Aktivitäten im Zusammenhang mit Cloud-APIs und DNS-Abfragen auf Anomalien zu prüfen.
