イラン政府系ハッカーが新型C2フレームワーク「Cavern」を使用、イスラエルの組織を標的に

要点

• イランの政府機関に関連するハッキンググループが、モジュール式の新型C2フレームワーク「Cavern」を用いてイスラエルの組織を攻撃していることが判明した。

• 「Cavern」は解析を妨害するため、コンポーネントごとに異なる複数の.NETコンパイル形式を組み合わせるという高度な設計を採用している。

• 攻撃者は自動更新機能やDLLサイドローディングを悪用し、標的の環境にエージェントを侵入させていた。

• ITプロバイダーを踏み台にして別のプロバイダーや政府部門へ侵入する、サプライチェーン上の信頼関係を悪用した攻撃手法が確認された。

• セキュリティ企業のCheck Point Researchは2026年7月6日、イランの情報治安省（MOIS）に関連するハッキンググループが、これまで確認されていなかった新型のモジュール式コマンド＆コントロール（C2）フレームワーク「Cavern（別名 Cav3rn）」を用いて、イスラエルの組織を標的にした攻撃を展開していると発表した。C2フレームワークとは、攻撃者が感染したシステムに指示を送り遠隔操作するための仕組みである。この活動は主にITサービスプロバイダーや政府部門を狙ったもので、サプライチェーンの脆弱性やソフトウェアの信頼関係を悪用する特徴を備えている。

• Check Point Researchはこの攻撃を実行している脅威グループを「Cavern Manticore」と名付けて追跡している。同社によると、このグループの戦術は、同じくイラン系とされる「MuddyWater」や、イランの国家支援型グループ「OilRig」のサブグループとされる「Lyceum」と一部で重複しているという。

• 今回発見された「Cavern」は、共有の.NET基盤をもとに構築されている。このフレームワークの最大の特徴は、解析者の調査を困難にするために、複数の異なるコンパイル（人間が書いたプログラムを実行可能な形式に変換する処理）形式をコンポーネント（構成要素）ごとに使い分けている点である。具体的には、従来の.NET Frameworkのほか、マネージドコードとネイティブC++を混在させた「.NET Mixed-Mode C++/CLI」、そして事前コンパイルを行う「.NET Native AOT」が組み合わせて使用されている。Check Point Researchは、この多様なコンパイル形式そのものが「アンチ分析レイヤー（解析を妨害する仕組み）」として機能しており、リバースエンジニア（プログラムを解析して仕様を特定する技術者）に対して複数のツール使用や発掘されたメタデータの復元作業を強いることになると説明している。

• 「Cavern」は、基本的な通信を担当する「Cavern Agent」と、侵入後の具体的な攻撃活動を担当する「Cavern modules」に明確に役割が分離されている。このモジュール式設計により、攻撃者は標的の環境に合わせて必要な機能を柔軟に展開し、侵入後の調査やデータの窃取、トンネリングなどを効率的に実行できるようになっている。

• Check Point Researchは、これまでに以下の5つのDLL（Windowsで複数のプログラムから共通して利用されるライブラリファイル）モジュールを特定している。

• mhm.dll：ファイルの操作、一覧表示、再帰的検索、圧縮ファイルの処理、および双方向のファイル転送を行う。

• db.dll：SQLデータベースの情報を列挙し、クエリを実行してデータを抽出し、操作する。

• ode.dll：ネットワーク上の資源を一元管理するシステムである「Active Directory」の偵察や、LDAP（ディレクトリサービス用プロトコル）を標的とした総当たり攻撃を試みる。

• n-ten.dll：ポートスキャンやネットワーク共有の列挙、SMB（ファイル共有プロトコル）への総当たり攻撃といったネットワーク偵察を行う。

• n-sws.dll：通信を中継して匿名性を高める「SOCKS5プロキシ」の構築や、WebSocketを使用したデータ通信経路（トンネル）を確立する。

• 技術的には、mhm.dll、db.dll、ode.dllが純粋な.NET Frameworkで構築されている一方、n-ten.dllやn-sws.dllなど、名前の頭文字に「n-」が付くモジュールは「Native AOT」でコンパイルされている。

• 攻撃のプロセスは、SysAid社製ソフトウェアのアップデート機能を悪用することから始まる。攻撃者は、正規のプログラムが特定のモジュールを読み込む性質を利用して悪意あるファイルを読み込ませる「DLLサイドローディング」という手法を使い、Cavern Agentが含まれた改ざん済みのDLL「uxtheme.dll」を実行させる。このメインエージェントは、マネージド.NETコードとネイティブC++を1つの実行ファイルに融合させた特殊な構造を持つ。

• 実行されたAgentは、外部のC2サーバー「hospitalinstallation[.]com」と接続するために通信用のDLLモジュール「n-HTCommp.dll」をロードし、HTTPSやWebSocket経由で追加の攻撃用モジュールを動的に取得する。この際、エージェント内部にあるディスパッチャー（モジュールの呼び出し制御機能）は、「n-」で始まるネイティブDLLモジュールについてはWindows APIの「LoadLibraryA」を用いてメモリ上にロードする。一方、その他のモジュールについては、プログラム同士をプロセス内で分離して相互影響を防ぐ技術である「AppDomain isolation（アプリケーションドメインの隔離）」を用いてロードする。このモジュールごとの隔離処理は、フォレンジック調査（攻撃の痕跡を調査・追跡する活動）を困難にするための強力な対抗措置として機能しているという。

• さらに、「Cavern Manticore」による実際の攻撃では、サプライチェーン上の信頼関係が巧みに悪用されていたことが確認されている。攻撃者はまず最初に踏み台となるITプロバイダーへ侵入し、そこからさらに別のITプロバイダーを経由して、最終的な標的である組織へと段階的に侵入を広げていた。

• Check Point Researchは、この手法について、特にリモート監視・管理（RMM）ソリューションが導入されている環境において、信頼されたサービスプロバイダーとの関係が攻撃者にとって大きな運用上の価値を持っていると指摘している。攻撃者はRMMツールを悪用することで、被害組織間を横方向（ラテラルムーブメント：ネットワーク内に侵入した攻撃者が他の端末へ侵入を拡大していく行為）に移動し、悪意あるプログラムを正規 of ソフトウェアアップデートに見せかけて配布することが可能になる。また、ブラウザベースのリモートデスクトップ技術を使用して標的のシステムへアクセスし、一部のケースでは組み込みの機能を悪用しているとみられる。