根據網路安全公司 Kaspersky 與 Group-IB 的最新分析，伊朗國家級駭客組織（與伊朗情報與安全部 MOIS 相關，包含 Cavern Manticore 等團體）所使用的 Cavern（又稱 Cav3rn）指令與控制（C2, Command and Control）框架正經歷快速演進。C2 是攻擊者用來遠端操控受感染電腦、發送指令及回傳竊取資料的基礎設施。Cavern 框架目前的發展重點在於透過模組化設計與濫用合法雲端服務，使其惡意流量能完美地隱藏在正常的網路活動之中，規避企業邊界防禦系統的偵測。
隱匿通訊的核心機制：DNS 與 Google Apps Script
Kaspersky 的研究發現，Cavern C2 引入了一個高度複雜的通訊模組 GoogleService.dll。該模組在每次進行數據傳輸前，會先對特定的域名發起 DNS A-record 查詢（一種將域名轉換為 IP 地址的基礎網路請求）。攻擊者利用 DNS 的回應結果作為一個開關，動態決定該次交易要採取哪一種傳輸路徑。
第一種路徑是直接透過 HTTPS 與攻擊者的後端伺服器通訊。第二種路徑則是利用 Google Apps Script 作為中繼站（Relay）。Google Apps Script 是 Google 提供的雲端腳本平台，允許用戶自動化處理 Google 服務。當駭客選擇中繼模式時，惡意程式會將請求發送到 Google 的部署端點，再由 Google 的伺服器將指令轉發至駭客的後端。由於流量目的地是合法的 Google 域名，大多數的安全監控設備會將其視為正常的雲端服務流量而予以放行。此外，攻擊者還能透過 DNS 基礎設施動態更新中繼站的部署 ID，實現通訊通道的快速切換，增加防禦者的追蹤難度。
模組化架構與多樣化的潛伏手段
Cavern 框架在 2026 年 4 月左右轉向了插件式的模組化架構。這種設計讓攻擊者能根據目標環境的需求，靈活加載不同的功能模組。例如，框架包含可用於 SQL 資料庫列舉、Active Directory 偵察（分析企業內部帳號權限結構）、LDAP 暴力破解以及 SOCKS5 代理與 WebSocket 隧道等模組，旨在實現深度滲透與持久化存取。
為了進一步強化隱匿性，該框架還開發了名為 HOLLOWGRAPH 的模組。此模組採取了極其巧妙的死信箱（Dead-drop）策略：它濫用 Microsoft Graph API（用於存取 Microsoft 365 資料的介面），將受害者的 Outlook 日曆轉化為指令傳輸通道。攻擊者將指令偽裝成日曆事件，而受感染的電腦則將竊取的檔案加密後，以日曆事件附件的形式上傳。為了避免被使用者發現，所有惡意事件的日期都被設定在遙遠的未來（例如 2050 年 5 月 13 日）。同時，該模組利用 DNS 隧道技術來更新用於身份驗證的 Microsoft Entra ID（原 Azure AD）憑證，確保通訊不會因金鑰過期而中斷。
運作協調與系統整合
在內部運作上，Cavern 引入了一個名為 rnp.dll 的組件代理（Inter-component Broker）。這個組件扮演著本地橋樑的角色，負責在受感染主機上發現並加載各個 DLL 功能模組，並在不同模組之間路由訊息。這種設計不僅支持在執行期間進行模組升級，還能確保各功能塊之間的低耦合，讓攻擊者能像安裝插件一樣快速擴展攻擊能力。
此外，分析顯示該組織傾向於使用受害目標所在區域的被盜基礎設施來部署 C2 伺服器，以降低地理位置異常引起的警報。雖然部分使用的域名（如 studiotikva[.]com）曾過期，但隨即被重新註冊，顯示出攻擊者具有強大的資源維護能力與長期潛伏的意圖。
實務影響與未來威脅
Cavern 框架的演進揭示了現代國家級攻擊的一個重要趨勢：從單純的惡意軟體開發，轉向對合法雲端生態系統（Living off the Cloud）的深度濫用。當攻擊流量與 Google 或 Microsoft 的合法流量混合在一起時，傳統基於特徵碼或單一域名黑名單的偵測方式將幾乎失效。
除了 Cavern 框架，相關的伊朗駭客團體 APT42 也被觀察到在針對核能產業的社交工程攻擊中使用 TAMECAT 框架，並開始導入生成式 AI（Generative AI）來加速操作。AI 被用於開發專屬工具、研究漏洞利用技術、翻譯語言以及精準識別目標對象的官方電子郵件。這意味著攻擊者的作戰節奏將大幅加快，且能以更低成本地進行高度客製化的精準打擊。
對於防禦方而言，這類威脅的挑戰在於其極高的適應性。由於 Cavern 採用模組化設計且不斷更換中繼通道，單一的封鎖手段已不足夠。企業必須轉向行為分析（Behavioral Analysis），監控異常的 API 調用模式或不尋常的 DNS 查詢頻率，才能在合法的雲端流量中識別出潛在的間諜活動。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。