חוקרי קספרסקי פרסמו ממצאים חדשים על Cavern (הידועה גם כ- Cav3rn) — מסגרת פיקוד ובקרה מודולרית המשמשת האקרים איראניים נגד גופים בישראל. החוקרים עוקבים אחר הפעילות מאז דצמבר 2025. הממצא המרכזי בדוח הנוכחי הוא רכיב תקשורת שלא תועד עד כה, שנועד למטרה אחת: להפוך את תעבורת הפיקוד לבלתי נראית.
איך עובד המנגנון
הרכיב – קובץ בשם GoogleService.dll, קורא את הגדרותיו מקובץ conf.json המאוחסן בדיסק ומבצע שאילתת DNS כדי להחליט כיצד לפעול. תשובת רשומת ה- A שהוא מקבל קובעת, עבור כל טרנזקציה בנפרד, אחת משתי דרכים: חיבור HTTPS ישיר לתשתית התוקף, או ניתוב דרך ריליי המבוסס על Google Apps Script. במצב השני עוברות הבקשות דרך פריסות Apps Script אשר מעבירות את התעבורה הלאה לשרתי התוקף. אותה תשתית DNS גם מאמתת ומחליפה מעת לעת את מזהה הפריסה של הריליי.
לצד הרכיב הזה תיעדו החוקרים את rnp.dll — מתווך פנימי שמאתר וטוען רכיבי DLL, מנתב ביניהם הודעות ותומך בשדרוג רכיבים בזמן ריצה. משמעות הדבר היא ארכיטקטורה מודולרית שהתוקף יכול לשדרג בשטח, בלי להדביק מחדש את המחשב. הדומיין המרכזי בקמפיין – studiotikva[.]com, נרשם בפברואר 2024, פג תוקפו בפברואר 2026 ונרשם מחדש במאי 2026.
דוחות המשך תיארו רכיב נוסף בשם HOLLOWGRAPH המנצל את לוחות השנה של Microsoft 365 כערוץ פיקוד סמוי דרך Graph API. קבצים מוצאים מהארגון בתוך אירועי יומן המתוארכים ל- 13 במאי 2050. תיעול DNS משמש לרענון פרטי הזדהות מול Azure AD.
מה מסוגל התוקף לעשות ברשת
המסגרת המודולרית תומכת בפעולות על קבצים, מיפוי מסדי נתונים מסוג SQL, סיור ב- Active Directory, מתקפות brute-force על LDAP, סיור רשת, פרוקסי SOCKS5 ומנהור WebSocket. בגרסאות שתועדו קודם נכללו גם שאיבת סיסמאות ועוגיות מדפדפנים, איסוף תיבות דואר של Outlook וצילומי מסך.
הייחוס: Cavern Manticore, קבוצת סייבר המשויכת למשרד המודיעין האיראני, עם חפיפות לפעילות MuddyWater ו- Lyceum. קספרסקי קושרת ל- OilRig/APT34 ברמת ביטחון נמוכה בלבד. במקביל תועדה APT42 מפעילה את מסגרת המעקב TAMECAT במתקפות דיוג ממוקד בין אפריל למאי 2026, באמצעות קובצי LNK המתחזים למסמכי PDF.
הסיכון: כשההגנה הפריטמרית מפסיקה לעבוד
רוב ההגנות הארגוניות בנויות סביב שאלה אחת: לאן יוצאת התעבורה. חוסמים דומיינים חשודים, בודקים מוניטין של כתובות IP, מסמנים יעדים לא מוכרים. המנגנון שתועד כאן מנטרל בדיוק את השכבה הזו. התעבורה יוצאת לתשתית של Google — יעד לגיטימי לחלוטין, שאף ארגון לא יחסום. בדיקת מוניטין תחזיר תשובה נקייה. ההחלטה איזה נתיב לבחור מתקבלת מחדש בכל טרנזקציה ולכן גם חסימת נתיב אחד אינה עוצרת את הערוץ.
חשוב להבין את ההבדל בין מתקפה כזו למתקפת כופרה: אין כאן הצפנה, אין פתק דרישה, אין רגע דרמטי שבו מתגלה שמשהו קרה. זהו ריגול: המטרה היא לשבת ברשת חודשים, לאסוף מסמכים, לקרוא תיבות דואר, למפות את מבנה הארגון ולאסוף פרטי הזדהות להתפשטות. ארגון ישראלי שאין לו יכולת חקירה יזומה עלול לגלות את הפעילות רק כשהמידע שלו כבר בחוץ. השילוב של סיור ב- AD, brute-force על LDAP ומנהור פנימי מלמד שהמטרה אינה תחנה בודדת, אלא הדומיין כולו.
010 – פתרונות הגנת סייבר
- מודיעין סייבר הוא הרכיב הראשון בהתמודדות. מדובר באיום ממוקד ישראל ולכן נדרשת התרעה מבוססת מחקר עדכני על טקטיקות, כלים ותשתיות של האקרים איראניים, לרבות דומיינים שנרשמו מחדש אחרי תקופת רדימות — דפוס שמופיע כאן במפורש.
- SIEM/SOC הוא לב ההגנה מול איום מהסוג הזה. כשחסימה לפי יעד אינה עובדת, הזיהוי חייב להיות התנהגותי: דפוסי שאילתות DNS חריגים, תחנת קצה שמדברת עם Apps Script בקצב אוטומטי, שימוש לא אופייני ב- Graph API, גל ניסיונות אימות מול LDAP, מנהור יוצא מתחנה שאין לה סיבה לתקשר החוצה. ניטור מתמשך עם צוות שיודע לחקור התרעה חשודה הוא ההבדל בין גילוי בשבוע הראשון לגילוי אחרי חצי שנה.
- מודעות עובדים לסייבר וכן סינון דוא"ל מטפלים בשלב הכניסה. הקמפיינים המקבילים נשענים על דיוג ממוקד עם קובצי LNK המתחזים ל- PDF — בדיוק סוג הפיתיון שעובד על עובד שלא אומן לזהות אותו.
- עדכוני תוכנה ואבטחה, לצד סקר סיכונים להקשחת הרשאות ב- Active Directory ובענן, מצמצמים את מרחב התנועה של התוקף אחרי הכניסה.
- מניעת דלף מידע (DLP) היא שכבת העצירה האחרונה, כשהמידע כבר בדרך החוצה.
הלקח פשוט: כשהתוקף מתחבא בתוך שירות שסומכים עליו, ההגנה חייבת לעבור מ"את מי לחסום" ל"מה נראה לא הגיוני".
למקור הידיעה ולקריאה נוספת לחצו כאן
