Project CAV3RN: Malware nutzt Google Apps Script zur Spionage
Veröffentlicht am: 12.08.2026 um 17:44 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten haben eine signifikante Weiterentwicklung des Cyberespionage-Frameworks „Project CAV3RN“ festgestellt. Die modulare Malware, die gezielt Organisationen in Israel angreift, nutzt innovative Techniken zur Tarnung ihrer Kommunikation. Dabei kommen insbesondere Google Apps Script als Relay-Dienst sowie eine dynamische Steuerung über das Domain Name System (DNS) zum Einsatz, um herkömmliche Sicherheitsmechanismen zu umgehen.
Dynamische C2-Steuerung über DNS-Abfragen
Ein zentraler Bestandteil der aktuellen Angriffsaktivitäten ist die Komponente „GoogleService.dll“. Dabei handelt es sich um eine 64-Bit-Bibliothek, die auf .NET 8 NativeAOT basiert und für das Polling des Command-and-Control-Servers (C2) verantwortlich ist. Das Framework nutzt eine raffinierte Methode, um den Transportweg der gestohlenen Daten pro Anfrage individuell zu bestimmen.
Hierfür werden DNS-A-Records unter der Domain „m.studiotikva[.]com“ abgefragt. Das letzte Oktett der zurückgegebenen IPv4-Adresse fungiert als Steuersignal für die Route des Datenverkehrs. Endet die IP-Adresse auf den Wert 130, wird eine direkte HTTPS-Verbindung aufgebaut. Bei der Endung 120 wählt das System den Pfad je nach aktuellem Fehlerzustand entweder direkt oder über einen Google-Relay. Andere Werte signalisieren der Malware, die Kommunikation vorzugsweise über Google-Dienste zu leiten. Zusätzlich nutzt das Framework Subdomains, um Deployment-IDs von Google Apps Script zu validieren und zu rotieren.
Modularer Aufbau und lokale Verwaltung
Angesichts immer komplexerer Angriffsszenarien wie Project CAV3RN müssen Unternehmen ihre Abwehrstrategien kontinuierlich anpassen. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken proaktiv schließen und Ihr Unternehmen langfristig vor modernen Cyberbedrohungen schützen. Gratis-E-Book: Cyber-Security-Trends jetzt sichern
Neben der Kommunikationskomponente spielt die Datei „rnp.dll“ eine wesentliche Rolle im Ökosystem von Project CAV3RN. Dieser in Visual C++ verfasste 64-Bit-Broker fungiert als lokale Schaltzentrale auf dem infizierten System. Er verwaltet die verschiedenen Module des Frameworks, unterstützt die Zuweisung von Aufgaben (Tasking) und steuert Software-Upgrades.
Durch diesen modularen Aufbau sind die Angreifer in der Lage, das C2-Verhalten adaptiv anzupassen, ohne die bereits installierte Malware vollständig austauschen zu müssen. Die vermittelte Kommunikation zwischen den Komponenten sorgt für eine hohe Flexibilität bei der Durchführung der Spionageoperationen.
Evolution der Tarnungstechniken
Sicherheitsexperten von Kaspersky beobachten eine schnelle Evolution des Frameworks. In einem aktuellen Bericht von Anfang August wird deutlich, wie die Hintermänner ihre Methoden verfeinern, um den bösartigen Datenverkehr in legitimen Cloud-Diensten untergehen zu lassen. Während in früheren Kampagnen Outlook für die Befehlsübermittlung genutzt wurde, hat sich der Fokus nun auf Google Apps Script verschoben. Diese Integration erschwert die Erkennung durch Netzwerk-Monitoring-Tools erheblich, da der Verkehr wie eine gewöhnliche Interaktion mit Google-Diensten erscheint.
Da Cyberkriminelle ihre Methoden zur Tarnung bösartiger Aktivitäten ständig verfeinern, wird ein fundiertes Wissen über aktuelle Bedrohungslagen für Verantwortliche unerlässlich. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten und technischen Risiken auf Ihr Unternehmen zukommen. Kostenlosen Cyber-Security-Report herunterladen
Verteidiger und IT-Sicherheitsabteilungen werden dazu angehalten, auf ungewöhnliche Muster bei der Nutzung von Google Apps Script sowie auf spezifische DNS-Abfragen zu achten. Auch das Laden unbekannter DLL-Dateien sollte überwacht werden. Als bekannte Indikatoren für eine Infektion (IOCs) gelten unter anderem MD5-Hashes für die Dateien „CommunicationUxTheme.dll“, „net.dll“, „texture.dll“ sowie die bereits beschriebenen Komponenten „rnp.dll“ und „GoogleService.dll“.
