1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
New Project CAV3RN module abuses Outlook calendar events for C2 and DNS AAAA records for configuration recovery
Ein neues Modul der Cyber-Spionage-Gruppe Project CAV3RN missbraucht Outlook-Kalenderereignisse für die Befehls- und Kontrollkommunikation (C2) und DNS AAAA-Einträge zur Wiederherstellung der Konfiguration. Betroffen sind Organisationen, die bereits Ziel von Project CAV3RN waren, insbesondere in Israel. Es wird empfohlen, die Systeme auf Anzeichen dieses neuen Kommunikationsmoduls zu überprüfen und die Sicherheitsmaßnahmen entsprechend anzupassen.
SecBoard-Einordnung
Dieses neue Modul ermöglicht es Angreifern, C2-Kommunikation über scheinbar legitime Outlook-Kalenderereignisse zu tarnen, was die Erkennung erschwert. Die Nutzung von DNS AAAA-Einträgen bietet zudem einen robusten Mechanismus zur Konfigurationswiederherstellung, selbst wenn primäre Authentifizierungswege fehlschlagen.
Realistisch schlimmster Fall: Erfolgreiche, verdeckte C2-Kommunikation und Konfigurationswiederherstellung, die zu anhaltender Präsenz und Datenexfiltration in betroffenen Organisationen führt, ohne dass herkömmliche Sicherheitskontrollen Alarm schlagen.
Empfehlung: Überprüfen Sie Systeme auf Anzeichen dieses neuen Kommunikationsmoduls, insbesondere ungewöhnliche Outlook-Kalenderereignisse oder DNS AAAA-Abfragen, die mit Project CAV3RN in Verbindung gebracht werden könnten. Passen Sie die Sicherheitsmaßnahmen entsprechend an.
Betroffen
Organisationen, die bereits Ziel von Project CAV3RN waren, insbesondere in Israel, und Organisationen, die Outlook verwenden.
Prüfen
3- ▸Überprüfen Sie E-Mail-Gateways und Proxys auf ungewöhnliche ausgehende Verbindungen zu Microsoft Graph-Endpunkten oder DNS AAAA-Abfragen, die nicht von bekannten Anwendungen stammen.
- ▸Überwachen Sie Outlook-Kalenderereignisse auf verdächtige Einträge, die von externen oder unbekannten Absendern stammen und ungewöhnliche URLs oder Inhalte enthalten könnten.
▸ 1 weitere▾ weniger
- ▸Analysieren Sie Netzwerkverkehr auf DNS AAAA-Abfragen zu unbekannten oder verdächtigen Domänen, insbesondere wenn diese nach fehlgeschlagenen Authentifizierungsversuchen auftreten.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische Indikatoren für Kompromittierung (IOCs) wie Hashes des Moduls AzureCommunication.dll oder spezifische Domänen, die für DNS AAAA-Abfragen verwendet werden, sind nicht im Artikel genannt.
- ▸Details zu den genauen Inhalten der missbrauchten Outlook-Kalenderereignisse (z.B. Betreff, Beschreibung, Anhänge) sind nicht spezifiziert.
- ▸Die genaue Methode, wie die Microsoft Graph-Authentifizierung fehlschlägt, um die DNS AAAA-Wiederherstellung auszulösen, ist nicht detailliert.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„AzureCommunication.dll (inferred, as it's a new module name that could be designed to blend in)“
„abuses Outlook calendar events for command and control (C2) communication“
„uses DNS AAAA records for configuration recovery“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
Akteursprofile