イラン政府系ハッカーのC2ツール「Cavern」が進化、DNSとGoogle Apps Scriptを悪用した正規通信偽装が判明

要点

• イラン関連の脅威アクターが使用する遠隔操作基盤「Cavern」に、DNSとGoogle Apps Scriptを悪用する新通信モジュールが確認された。

• 新モジュールはDNSの応答結果に応じて、直接HTTPS通信とGoogle経由のリレー通信を動的に切り替える。

• コンポーネントの検出や実行時更新を担う内部ブローカーDLLも特定され、拡張性の高い構造が判明した。

• 過去にはMicrosoft 365の予定表を悪用するモジュールも見つかっており、正規クラウドサービスを隠れ蓑にする手口が進化している。

• ロシアのサイバーセキュリティ企業Kasperskyは2026年8月17日、イラン政府との関連が指摘される脅威アクターが使用するC2（コマンド＆コントロール：侵害端末を遠隔操作する基盤）フレームワーク「Cavern」において、新たな通信コンポーネントを発見したと発表した。

• Kasperskyはイスラエルの組織を標的とするこの攻撃活動を2025年12月から継続して追跡しており、今回の分析によってツールの通信機能がさらに拡張されている実態が明らかになった。

• 攻撃者はDNS問い合わせやGoogle Apps Scriptなどの正規サービスを組み合わせ、セキュリティ製品による検知を回避する通信経路を構築しているという。

DNSとGoogle Apps Scriptで通信経路を切り替える新モジュール

Kasperskyが新たに確認したのは、「GoogleService.dll」と呼ばれる通信モジュールである。このモジュールは端末上の設定ファイル（conf.json）を読み込み、通信のトランザクションごとにDNSのAレコード問い合わせを行う。

モジュールはDNSの応答結果に基づき、攻撃者のサーバーへ直接HTTPS通信を行うか、Google Apps Scriptを中継（リレー）として利用するかを動的に選択する。Google Apps Script経由が選ばれた場合、送信データは一度Googleの実行環境に送られ、そこから攻撃者が管理するバックエンドへと転送される仕組みだ。直接通信が指示された場合は、リレーを介さずに設定されたアドレスへ接続する。

さらに、攻撃者はDNSインフラを通じてリレーのデプロイIDを検証したり新しいIDへ差し替えたりできるため、Google側の通信チャネルを柔軟にローテーション（切り替え）させることが可能になっているとKasperskyは説明している。

内部連携を担うブローカー「rnp.dll」とモジュール構造

今回の調査では、各コンポーネント間の連携を担うローカルブローカー「rnp.dll」の存在も特定された。このブローカーは端末内のDLLコンポーネントを検出してロードし、モジュール間のメッセージ転送や実行時のアップデートを仲介する役割を果たす。

Cavernは2026年7月初旬にCheck Point Researchによって初めて報告されたフレームワークで、本体となるエージェントと複数の機能モジュールで構成されている。侵入後の活動として、ファイル操作をはじめ、SQLデータベースの探索、Active Directoryの偵察、LDAPへの総当たり攻撃、ネットワーク調査、SOCKS5プロキシやWebSocketを用いたトンネリングなど多彩な機能を備える。Kasperskyによれば、Cavernがプラグイン型の拡張アーキテクチャへと移行したのは2026年4月下旬とみられている。なお、活動に関連する主要ドメイン（studiotikva[.]com）は2024年2月に登録された後、2026年2月に一度失効したものの、その3か月後に再登録されていた。

Microsoft 365予定表を悪用する「HOLLOWGRAPH」

Cavernフレームワークでは、これまでにも正規クラウドサービスを悪用する手口が確認されている。Group-IBおよびKasperskyが報告した「HOLLOWGRAPH」と呼ばれるモジュールは、Microsoft 365の予定表（カレンダー）を隠れたC2通信チャネルとして悪用するものだ。

2026年6月7日に初検出されたこのモジュールは、Microsoft Graph APIを利用してメールボックスの予定表を「デッドドロップ（秘密の受け渡し場所）」として扱う。攻撃者は指令をカレンダーの予定として登録し、マルウェア側は盗取したデータを暗号化して添付ファイル付きの予定を作成することで持ち出す。メールボックスの所有者に気づかれないよう、予定の日時は「2050年5月13日」という遠い未来に設定されていた。また、認証用トークンの更新にはDNSトンネリングが用いられていた。

攻撃者の背景

Cavernを用いた攻撃活動は、イラン情報安全保障省（MOIS）傘下の脅威グループ「Cavern Manticore」に関連付けられている。このグループはイラン系の「MuddyWater」や、「OilRig」のサブグループである「Lyceum」と活動の重複が見られる。

Kasperskyは、MicrosoftサービスのC2悪用やOAuthトークンの再取得機構、標的地域内の侵害インフラ流用といった手口の共通点から、同じくイラン系の「OilRig（APT34）」との関連性も低確信度ながら指摘している。正規サービスの通信に紛れ込ませて境界防御をすり抜ける手法の進化が続いている。