伊朗黑客组织亮出"秘密武器"：Cavern C2框架如何绕过所有安全检测

首页 阅读 安全资讯 安全知识 安全工具 活动 社区 学院 安全导航 内容精选 专栏 精选专题 安全KER季刊 360网络安全周报 伊朗黑客组织亮出"秘密武器"：Cavern C2框架如何绕过所有安全检测 阅读量 7413 发布时间 : 2026-07-10 11:03:32 x 译文声明 本文是翻译文章 译文仅供参考，具体内容表达以及含义原文为准。 一个存在16年的漏洞利用链，一套让安全研究人员”无从下手”的反分析架构——当国家级APT开始把编译格式本身当作武器，传统的防御思路还管用吗？ 1 发生了什么 2026年7月初，以色列网络安全公司Check Point Research披露了一份重磅报告：一个隶属于伊朗情报与安全部（MOIS）的黑客组织，正在使用一套全新模块化C2框架—— Cavern （又名Cav3rn），持续攻击以色列的IT服务商和政府机构。 这个被Check Point追踪为”Cavern Manticore”的威胁组织，从2026年初就开始活跃。不同于以往伊朗系 APT 组织（如MuddyWater、OilRig）大量使用公开工具的做法，Cavern Manticore展现出了截然不同的技术路线： 整套框架完全基于.NET构建，但被刻意编译成三种不同的二进制格式 ，迫使安全研究人员必须切换不同的工具链才能分析——而这，正是他们设计的核心。 更值得警惕的是，这套框架在VirusTotal上的检测率”几乎为零或极低”。换句话说，绝大多数主流安全产品拿它没什么办法。 2 技术解析：把”编译格式”变成反分析武器 Cavern框架最引人注目的地方，不在于它做了什么，而在于它 怎么隐藏自己做了什么 。 传统恶意软件的反分析手段，安全从业者已经很熟悉了：加壳、 控制流平坦化 、字符串加密。Cavern一个都没用。它的思路完全不同—— 让每一种模块以不同的编译格式存在 ，每种格式需要完全不同的逆向工具和工作流： 第一种：.NET Framework（纯IL） ——包含mhm.dll（文件操作、DPAPI解密）、db.dll（SQL数据库操控）、ode.dll（Active Directory侦察）三个后渗透模块。用常规的.NET反编译工具就能看，但攻击者根本不在乎你看不看，因为每个模块运行在独立的AppDomain中，执行完毕就卸载，磁盘上不留可分析的组件。 第二种：混合模式C++/CLI（IL+原生代码） ——这是Agent本体uxtheme.dll，伪装成Windows主题库，83个导出函数中82个是空壳（反沙箱陷阱），只有一个真正工作。 第三种：.NET 8 Native AOT（纯原生） ——通信模块n-HTCommp.dll、网络侦察模块n-ten.dll、SOCKS5代理模块n-sws.dll。整个.NET运行时被静态编译进去，字符串只有在运行时才会”解冻”。Check Point不得不专门开发了一个IDA Pro插件，才能从这些二进制文件中恢复出元数据。 这种设计的实际效果是： 即使你发现了其中一个模块，分析它的经验无法复用到另一个模块上 。安全团队要同时维护三套分析能力，成本呈几何级增长。 Check Point在报告中写道：”框架的编译格式本身就成为了反分析层。” 3 攻击链条：从信任的IT服务商渗透进去 Cavern Manticore的入侵起点，不是什么高精尖的0day，而是一个更接地气的目标—— 企业已经部署的远程监控和管理（ RMM ）软件 。 攻击链条大致如下： 攻击者先通过某种方式获得目标组织RMM系统的访问权限，然后滥用SysAid软件的合法更新功能，将恶意代码伪装成正常更新推送。一个 WinDirStat 的DLL侧加载链被部署到 C:\ProgramData\WinDir\ 目录，合法的WinDirStat.exe加载被篡改的uxtheme.dll（Cavern Agent），Agent随即连接C2服务器 hospitalinstallation[.]com ，并通过HTTPS或WebSocket按需拉取后续攻击模块。 C2通信使用XOR密钥0x48加密，外层再套一层Base64编码，User-Agent固定为Edge浏览器，自定义 X-User-token 头部携带Agent ID。整个通信协议的字段用 _;;_ 分隔，参数用 _,_ 分隔——这种”方言”式的语法设计，也让流量特征检测更加困难。 值得注意的是，Agent具备 热更新能力 ：它可以重命名自己的DLL文件，写入新版本，然后加载——整个过程不需要重启。启动后还会执行清理，删除除通信模块、配置和日志以外的所有文件。 攻击者的代码中甚至留下了带”个性”的错误信息：”What is this sh*t?! where is get_version?!?!”——Check Point的研究人员据此判断，这是一个具体的开发者，而非自动化代码生成器的产物。 4 事件影响：供应链信任正在被系统性武器化 这起事件最深层的信号，不在于某个技术细节有多精巧，而在于 攻击者对”信任关系”的利用方式 。 第一层信任滥用：IT服务商本身就是攻击入口。Cavern Manticore不直接攻击最终目标，而是先拿下目标使用的IT服务商，再通过服务商的RMM工具”合法地”跳转到真正的目标。这种”第二跳”甚至”第三跳”的攻击路径，让基于边界的防御模型几乎失效——你的安全团队很难区分”IT服务商正常推送的更新”和”攻击者伪装的更新”。 第二层信任滥用：合法软件被当作投毒载体。 SysAid 本身并没有被入侵，攻击者是先拿到了系统权限后，再利用它的更新功能来分发恶意代码。这意味着安全团队不能只盯着软件自身的漏洞，还得关注软件被攻陷后可能扮演的”帮凶”角色。 第三层，也是更宏观的一层：伊朗多个APT组织正在协同行动。与Cavern Manticore同时活跃的，还有同属MOIS体系的MuddyWater组织，后者正在对埃及、以色列、阿联酋的航空、能源和政府部门发起大规模侦察和渗透，已确认在多个受控环境中完成了敏感数据外泄。两个组织的同步活跃，指向伊朗在网络空间正在升级其攻击行动——这与当前以色列和美国对伊朗的军事行动形成了”镜像呼应”。 对于不在中东地区的组织来说，这起事件的启示同样直接： 你的IT服务商、MSP（托管服务提供商）、RMM工具，都可能成为国家级攻击者的跳板 。供应链安全不是一个抽象概念，而是一个需要落实到每一层信任关系中的具体工程。 5 防护建议 针对Cavern Manticore的攻击特征，以下是分层次的防护建议： 1.IT服务商/MSP管理 对IT服务商的远程管理权限实施最小化原则。RMM工具的更新推送机制需要额外验证——建议引入变更审批流程，关键更新需要双方确认。定期审计服务商对内部系统的访问记录，重点关注非常规时间段的更新推送行为。 2.终端检测 关注以下IOC（失陷指标）： C2域名： hospitalinstallation[.]com （及历史域名 adserviceupdate[.]com 、 hygienehistory[.]com ） 文件路径： C:\ProgramData\WinDi