สรุปสั้น

บริษัท Kaspersky เปิดเผยผลการติดตามเฟรมเวิร์ก command-and-control ชื่อ Cavern (หรือ Cav3rn) ที่กลุ่มแฮ็กเกอร์ระดับรัฐของอิหร่านใช้โจมตีองค์กรในอิสราเอล และพบส่วนประกอบที่ยังไม่เคยมีใครรายงานมาก่อนหลายตัว โดยตัวที่สำคัญที่สุดคือโมดูลสื่อสารชื่อ GoogleService.dll ที่อ่านไฟล์ตั้งค่า conf.json จากดิสก์ แล้วส่งคำถาม DNS แบบ A-record เพื่อ “ถามทาง” ว่าการติดต่อครั้งนี้จะวิ่งตรงไปที่ HTTPS หรือจะอ้อมผ่านรีเลย์ Google Apps Script โดยตัดสินใจใหม่ทุกทรานแซกชัน และโครงสร้าง DNS ชุดเดียวกันยังใช้ตรวจสอบและเปลี่ยน deployment ID ของรีเลย์ได้ด้วย เท่ากับผู้ควบคุมหมุนช่องทางฝั่ง Google ได้เรื่อย ๆ โดยไม่ต้องแก้ตัวมัลแวร์บนเครื่องเหยื่อ

Cavern ถูกเปิดเผยต่อสาธารณะครั้งแรกโดย Check Point Research ต้นเดือนกรกฎาคม 2569 (เราเคยรายงานไว้ใน Cavern Manticore — กลุ่มแฮ็กเกอร์อิหร่านใช้เฟรมเวิร์ก C2 ตัวใหม่ ‘Cavern’ โจมตีองค์กรอิสราเอล ) ประกอบด้วยตัว Agent กับชุดโมดูลจำนวนมากที่ทำงานร่วมกันเพื่อรองรับงานหลังเจาะระบบ ทั้งจัดการไฟล์ สำรวจฐานข้อมูล SQL สอดแนม Active Directory ยิง LDAP brute-force สำรวจเครือข่าย และทำ SOCKS5 proxy กับ WebSocket tunneling การใช้ Cavern เชื่อมโยงกับกลุ่ม Cavern Manticore ที่อยู่ในเครือกระทรวงข่าวกรองและความมั่นคงของอิหร่าน (MOIS) และมีจุดทับซ้อนกับ MuddyWater รวมถึงกลุ่มย่อยของ OilRig ที่รู้จักในชื่อ Lyceum

รายงานรอบนี้ต่อจากงานสองชิ้นของ Group-IB และ Kaspersky ที่แกะโมดูลชื่อ HOLLOWGRAPH ซึ่งเปลี่ยนปฏิทิน Microsoft 365 ให้เป็นช่องสั่งการลับ (เราเคยรายงานไว้ใน HollowGraph — มัลแวร์จารกรรมซ่อนคำสั่งและไฟล์ที่ขโมยไว้ในปฏิทิน Microsoft 365 ที่ลงวันที่ปี 2050 ) ภาพรวมจึงเป็นเฟรมเวิร์กที่ไม่หยุดพัฒนา และเลือกเกาะบริการที่ถูกต้องตามกฎหมายเป็นทางเดินของทราฟฟิก C2 เพื่อให้การตรวจจับที่ขอบเครือข่ายทำงานได้ยากขึ้นเรื่อย ๆ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 17 สิงหาคม 2569 ว่านักวิจัยของบริษัท Kaspersky ซึ่งเฝ้าติดตามคลัสเตอร์กิจกรรมนี้มาตั้งแต่เดือนธันวาคม 2568 พบส่วนประกอบใหม่ที่ขยายความสามารถด้านการสื่อสารของชุดเครื่องมือ Cavern ออกไปอีก

Kaspersky ระบุในบทวิเคราะห์ว่า “สิ่งที่ค้นพบหลักคือโมดูล C2 ที่ซับซ้อน ซึ่งใช้คำตอบ DNS A-record เพื่อเลือกระหว่าง HTTPS โดยตรงกับรีเลย์ Google Apps Script ในแต่ละทรานแซกชัน” และเสริมว่าโครงสร้าง DNS เดียวกันนั้นสามารถตรวจสอบและแทนที่ deployment ID ของรีเลย์ได้ ทำให้ผู้ควบคุมหมุนช่องทางฝั่ง Google ได้ตามต้องการ

การเปลี่ยนสถาปัตยกรรมของ Cavern ไปเป็นแบบมอดูลาร์ที่ต่อขยายได้ด้วยระบบปลั๊กอิน Kaspersky ประเมินว่าเกิดขึ้นช่วงปลายเดือนเมษายน 2569 และหลังจากนั้นได้โยงเฟรมเวิร์กนี้เข้ากับ OilRig (หรือ APT34) ด้วย ความมั่นใจต่ำ โดยอ้างสัญญาณสามอย่างคือ การใช้บริการที่โฮสต์โดย Microsoft เป็นช่อง C2 แบบเดียวกับ RDAT และ OilCheck, การมีกลไกสำรองสำหรับขอ OAuth refresh token ตัวใหม่แบบที่เคยเห็นใน OilBooster และการใช้โครงสร้างพื้นฐานที่ยึดมาจากองค์กรในภูมิภาคเป้าหมายแบบที่เคยเห็นในมัลแวร์ Solar และ Veaty — ทั้งหมดนี้ Kaspersky ย้ำว่า ไม่มีการใช้โค้ดซ้ำหรือโครงสร้างพื้นฐานทับซ้อนกันโดยตรง

อีกชิ้นที่พบใหม่คือ broker ระหว่างส่วนประกอบชื่อ rnp.dll ซึ่งทำหน้าที่เป็นสะพานภายในเครื่อง คือค้นหาและโหลดคอมโพเนนต์ที่เป็นไฟล์ DLL ส่งข้อความไปมาระหว่างกัน และรองรับการอัปเกรดขณะทำงาน ส่วนโดเมนหลักที่ผูกกับกิจกรรมนี้คือ studiotikva[.]com จดทะเบียนครั้งแรกเดือนกุมภาพันธ์ 2567 หมดอายุไปเมื่อกุมภาพันธ์ 2569 แล้วถูกจดทะเบียนใหม่อีกครั้งในอีกสามเดือนถัดมา

Kaspersky สรุปว่า “ด้วยการใช้บริการที่ถูกต้องตามกฎหมายในทางที่ผิด — ก่อนหน้านี้คือนัดหมายบนปฏิทิน Outlook และตอนนี้คือ Google Apps Script — เฟรมเวิร์กนี้ทำให้ทราฟฟิก C2 ของตัวเองกลืนไปกับกิจกรรมเครือข่ายปกติ ซึ่งทำให้การตรวจจับที่อาศัยเครือข่ายซับซ้อนขึ้น” และประเมินว่าจากจังหวะการพัฒนา การออกแบบแบบมอดูลาร์ และความถี่ของปฏิบัติการ CAV3RN มีแนวโน้มจะขยายตัวต่อไป

ในช่วงเดียวกัน บริษัท DarkAtlas ก็เผยแพร่รายละเอียดการใช้มัลแวร์ TAMECAT ของกลุ่ม APT42 ในการโจมตีแบบ spear-phishing ล่าสุดช่วงเดือนเมษายนถึงพฤษภาคม 2569 โดยเล็งไปที่บุคคลที่เกี่ยวข้องกับภาคพลังงานนิวเคลียร์ ใช้ไฟล์ LNK ปลอมตัวเป็นเอกสาร PDF และใช้ธีมชวนออกพอดแคสต์หรือขอสัมภาษณ์เป็นเครื่องมือหลอกล่อ ซึ่งเป็นแนวทางเดียวกับที่เราเคยรายงานไว้ใน APT42 อิหร่านยกระดับฟิชชิงด้วย AI — ก่อนปล่อยมัลแวร์ TAMECAT ใส่เจ้าหน้าที่รัฐและกลาโหม TAMECAT เป็นเฟรมเวิร์กสอดแนมและเก็บข้อมูลแบบมอดูลาร์ที่รองรับการสำรวจระบบ รันคำสั่งตามอำเภอใจ เก็บ credential และคุกกี้จากเบราว์เซอร์ ดูดกล่องจดหมาย Outlook จากไฟล์ .ost จับภาพหน้าจอ และมีช่อง C2 กับช่องส่งข้อมูลออกสำรอง

วิธีการโจมตี

หัวใจของการเปลี่ยนแปลงรอบนี้อยู่ที่การ “ถามทางผ่าน DNS” โมดูล GoogleService.dll จะอ่านค่าตั้งต้นจาก conf.json แล้วยิงคำถาม DNS A-record ออกไป คำตอบที่ได้กลับมาคือคำสั่งกลาย ๆ ว่าให้ใช้ช่องทางไหน ถ้าเลือกโหมด Google โมดูลจะส่งคำขอไปที่ Apps Script deployment ซึ่งจะทำหน้าที่ส่งต่อไปยังแบ็กเอนด์ที่ผู้โจมตีควบคุม ถ้า DNS สั่งให้ใช้ HTTPS โดยตรง โมดูลก็จะติดต่อปลายทางที่ตั้งค่าไว้โดยไม่ผ่านรีเลย์เลย ผลคือทราฟฟิกขาออกที่ผู้ป้องกันเห็นอาจเป็นการคุยกับโดเมนของ Google ที่ผ่านการรับรอง ไม่ใช่ไอพีแปลกหน้าที่พร้อมถูกบล็อก

จุดที่ทำให้ยากกว่านั้นคือความสามารถในการหมุนช่องทาง เพราะโครงสร้าง DNS ชุดเดียวกันใช้ตรวจสอบและแทนที่ deployment ID ของรีเลย์ได้ ดังนั้นแม้ผู้ป้องกันจะไล่ปิด deployment หนึ่ง ผู้ควบคุมก็เพียงแก้ค่าที่ฝั่ง DNS แล้วเครื่องเหยื่อจะเปลี่ยนไปใช้ deployment ตัวใหม่เอง โดยไม่ต้องส่งมัลแวร์เวอร์ชันใหม่ลงเครื่องอีกครั้ง

ส่วน rnp.dll เป็นตัวประกอบร่างของเฟรมเวิร์กในเครื่องเหยื่อ ทำให้ Cavern ไม่ต้องเป็นไบนารีก้อนใหญ่ก้อนเดียว แต่แตกเป็นชิ้น DLL เล็ก ๆ ที่โหลดเข้ามาเฉพาะเมื่อจำเป็น ส่งข้อความคุยกันภายใน และเปลี่ยนตัวเองระหว่างทำงานได้ ซึ่งทั้งลดร่องรอยที่นักสืบสวนจะเก็บได้ และทำให้การวิเคราะห์จากตัวอย่างชิ้นเดียวไม่เห็นภาพรวมของความสามารถทั้งหมด

ก่อนหน้านี้ HOLLOWGRAPH ซึ่งเป็นโมดูลในตระกูลเดียวกันใช้แนวคิดคล้ายกันแต่เกาะบริการของ Microsoft คือใช้ Microsoft Graph API ปฏิบัติกับปฏิทินของกล่องจดหมายที่ถูกเจาะเป็น dead-drop สองทาง ผู้ควบคุมฝังงานเป็นนัดหมาย ส่วนตัวมัลแวร์ส่งไฟล์ที่ขโมยออกมาโดยสร้างนัดหมายของตัวเองแล้วแนบข้อมูลที่เข้ารหัสไว้ และเพื่อไม่ให้เจ้าของกล่องจดหมายสังเกต ทุกนัดหมายถูกลงวันที่ไว้ไกลถึง 13 พฤษภาคม 2593 ควบคู่กับการใช้ DNS tunneling เพื่อรีเฟรช credential ของ Microsoft Entra ID ที่ใช้ยืนยันตัวกับ Graph API แล้วเขียนค่าใหม่ลงไฟล์ข้อความบนดิสก์ ตัว HOLLOWGRAPH เป็นไฟล์ DLL ที่คอมไพล์ด้วย .NET NativeAOT และถูกพบในธรรมชาติครั้งแรกเมื่อวันที่ 7 มิถุนายน 2569

ผลกระทบ

สิ่งที่เปลี่ยนไปสำหรับผู้ป้องกันไม่ใช่ความสามารถใหม่ในการขโมยข้อมูล แต่เป็นตำแหน่งที่ทราฟฟิก C2 ไปปรากฏ เมื่อช่องสั่งการวิ่งผ่าน Google Apps Script หรือ Microsoft Graph การบล็อกตามชื่อโดเมนหรือชื่อเสียงของไอพีจะใช้ไม่ได้ เพราะปลายทางคือบริการเดียวกับที่พนักงานทั้งองค์กรใช้ทำงานจริงทุกวัน และการเลือกช่องทางเป็นรายทรานแซกชันด้วย DNS ยังทำให้แบบแผนทราฟฟิกไม่สม่ำเสมอพอที่จะจับด้วยกฎง่าย ๆ

อีกประเด็นคือความยืดหยุ่นของฝั่งผู้โจมตี การหมุน deployment ID ผ่าน DNS หมายความว่าการ takedown ช่องทางหนึ่งได้ผลเพียงชั่วคราว ส่วนสถาปัตยกรรมแบบปลั๊กอินที่มี broker คอยโหลดโมดูลตามสั่ง ทำให้ทีมตอบสนองเหตุการณ์ที่เก็บได้แค่บางชิ้นสรุปขอบเขตความเสียหายได้ยาก โดยเฉพาะเมื่อโมดูลที่มีอยู่ครอบคลุมถึงการสอดแนม Active Directory และการยิง LDAP brute-force ซึ่งเป็นก้าวถัดไปสู่การยึดโดเมน

ที่ต้องอ่านอย่างระวังคือเรื่องการโยงกลุ่ม Kaspersky ระบุเองว่าความเชื่อมโยงกับ OilRig อยู่ในระดับ ความมั่นใจต่ำ และไม่มีโค้ดหรือโครงสร้างพื้นฐานทับซ้อนกันตรง ๆ ขณะที่รายงานไม่ได้ระบุจำนวนเหยื่อ ชื่อองค์กรที่ถูกเจาะ หรือระยะเวลาที่ผู้โจมตีฝังตัวอยู่ ดังนั้นการนำชื่อกลุ่มไปใช้เป็นข้อสรุปเรื่องผู้ลงมือจึงยังเร็วเกินไป ส่วนโมดูล GoogleService.dll เองก็ยังไม่มีข้อมูลว่าถูกใช้กับเหยื่อรายใดหรือกว้างเพียงใด

คำแนะนำ

  • เก็บและตรวจล็อก DNS ฝั่งไคลเอนต์ให้ได้ระดับ query ไม่ใช่แค่ปริมาณ เพราะกลไกเลือกช่องทางของ Cavern ทำงานผ่านคำตอบ A-record ล้วน ๆ การมองเห็นเฉพาะทราฟฟิก HTTP จะไม่เห็นขั้นตอนตัดสินใจนี้เลย
  • บังคับให้เครื่องผู้ใช้และเซิร์ฟเวอร์คุย DNS ผ่านรีโซลเวอร์ขององค์กรเท่านั้น แล้วบล็อก DNS ขาออกที่ไม่ผ่านรีโซลเวอร์ รวมถึงเฝ้าดูโดเมนที่ถูกจดทะเบียนใหม่หลังหมดอายุแบบกรณี studiotikva[.]com
  • ตั้งสมมติฐานว่าทราฟฟิกไปยัง script.google.com และ Microsoft Graph อาจเป็นช่อง C2 ได้ แล้วสร้างเส้นฐานว่าเครื่องกลุ่มไหนควรคุยกับบริการเหล่านี้จริง โดยเฉพาะเซิร์ฟเวอร์ที่ไม่ควรมีเบราว์เซอร์หรือผู้ใช้ล็อกอิน
  • ตรวจการสร้างนัดหมายปฏิทินที่ลงวันที่ในอนาคตไกลผิดปกติและมีไฟล์แนบ พร้อมทบทวนสิทธิ์ของแอปพลิเคชันบน Microsoft Entra ID ที่เข้าถึงปฏิทินและเมลได้ เพื่อตัดเส้นทางแบบ HOLLOWGRAPH
  • เฝ้าดูการโหลด DLL ที่ไม่คาดคิดเข้าโปรเซสที่ดูปกติ และการเขียนไฟล์ตั้งค่าอย่าง conf.json ในไดเรกทอรีที่ไม่ควรมี ซึ่งเป็นร่องรอยของสถาปัตยกรรมแบบ broker และปลั๊กอิน
  • สำหรับความเสี่ยงฝั่ง spear-phishing ให้ตั้งการตรวจไฟล์ LNK ที่มาพร้อมชื่อและไอคอนเลียนแบบเอกสาร PDF และซ้อมพนักงานกลุ่มที่มักถูกทาบทามให้สัมภาษณ์หรือออกพอดแคสต์เป็นพิเศษ

แหล่งอ้างอิง