17.08.2026 om 19:41 Beveiligingsnieuws

Cavern C2 met DNS en Google Apps Script

De command-and-control (C2) infrastructuur Cavern C2 (ook bekend als Cav3rn) blijft zich ontwikkelen. Kaspersky en andere onderzoekers beschrijven nieuwe bouwstenen die het netwerkverkeer van aanvallers laten lijken op legitieme communicatie, met onder meer DNS-afspraken en een omleiding via Google Apps Script. Dat maakt detectie op basis van “verdachte domeinen” of klassieke perimeterregels lastiger.

Deze update valt samen met extra inzichten rond verwante modules, waaronder HOLLOWGRAPH: een techniek die Microsoft 365-agenda’s inzet als covert berichtkanaal. In dit artikel zetten we de belangrijkste mechanismen op een rij en kijken we wat dit betekent voor detectie en incident response.

Wat is Cavern C2 en waarom verandert het steeds?

Cavern C2 werd eerder publiek beschreven en bestaat uit meerdere componenten die samen opereren. De kern is gericht op post-exploitatie: het ondersteunt taken van mission-specifieke functionaliteit, terwijl het tegelijk probeert sporen zo beperkt mogelijk te houden. Onderzoekers plaatsen de evolutie van het framework in een modulaire, uitbreidbare richting, met een plugin-achtige aanpak waarmee nieuwe mogelijkheden kunnen worden toegevoegd.

In de recente bevindingen komt vooral naar voren dat de aanvallers hun communicatie slimmer kiezen. In plaats van één vast kanaal gebruiken ze dynamiek alternatieven op basis van DNS-informatie. Hierdoor kan hetzelfde systeem variëren in hoe het verkeer zich gedraagt, zelfs tijdens opeenvolgende transacties.

DNS A-records als schakelaar voor HTTPS en Google Apps Script

Een opvallende nieuw ontdekte module binnen Cavern C2 gebruikt DNS A-record responses om te bepalen welk transport voor een specifieke stap wordt gebruikt. Volgens Kaspersky wordt voor elke transaction een keuze gemaakt tussen:

direct HTTPS naar een geconfigureerd adres, of
een relay via Google Apps Script, waarbij een door de aanvaller beheerde backend wordt aangeroepen.

De kracht zit hem in de “zelfde infrastructuur” die zowel routing als validatie mogelijk maakt. De DNS-structuur kan volgens de analyse ook een deployment-ID voor de Google-kant valideren of vervangen, zodat het Google-kanaal kan worden geroteerd zonder dat de rest van de operatie hoeft te veranderen.

Voor verdedigers betekent dit: het C2-gedrag is niet één duidelijke lijn, maar een combinatie van DNS-queries en daaropvolgend verkeer dat óók nog eens via een legitieme Google-dienst kan lopen.

Modules die taken ondersteunen én zichtbaarheid verlagen

Naast communicatiebeschrijving noemen onderzoekers dat Cavern C2 is opgezet met meerdere modules voor uiteenlopende activiteiten na compromittering. De toolkit ondersteunt onder meer:

bestandsbewerkingen
enumeratie van SQL-databases
Active Directory-reconnaissance
LDAP brute-force aanvallen
netwerkverkenning
SOCKS5-proxying en WebSocket-tunneling

Dit scala aan mogelijkheden laat zien dat het framework niet alleen “berichtjes heen en weer stuurt”, maar ook actief inzet op verdere ontdekking en beweging binnen het doelnetwerk.

Belangrijk is dat het geheel ontworpen lijkt om forensische zichtbaarheid te beperken en persistentie mogelijk te maken. Dat maakt snelle triage na een incident uitdagender: je wilt niet alleen op het eerste laadbare payload letten, maar ook op gedragspatronen van alle modules.

Google mode versus direct HTTPS

Kaspersky beschrijft de werking van de nieuwe communicatiecomponent verder. De module leest een configuratiebestand van disk, genaamd conf.json, en doet vervolgens een DNS A-record query om te “kiezen” tussen de twee modi.

Als Google mode wordt gekozen, verzendt de module aanvragen naar een specifieke Apps Script deployment. Die relay stuurt de verzoeken door naar de backend die door de aanvaller wordt bestuurd.

Kiest het systeem voor direct HTTPS, dan gaat het verkeer naar het geconfigureerde adres zonder de relay te gebruiken. Hierdoor kan de operatie inspelen op omstandigheden zoals blokkades, filtering of tijdelijke beschikbaarheid.

Lokale broker en runtime upgrades binnen het framework

Naast de C2-keuzelogica noemen onderzoekers een interne schakelcomponent: een broker die als lokale brug fungeert. Deze rnp.dll helpt bij het vinden en laden van DLL-componenten, het routeren van berichten tussen onderdelen en het ondersteunen van runtime-updates.

Het idee achter zo’n broker is praktisch: het maakt het framework flexibeler. Als aanvallers een module willen wijzigen of uitbreiden, kan dat via het laden van andere componenten gebeuren zonder dat de hele keten opnieuw opgebouwd hoeft te worden.

HOLLOWGRAPH: Microsoft 365 kalenderevents als covert C2-kanaal

Los van het Google/DNS-verhaal komt er een extra module naar voren die Microsoft 365 als communicatiekanaal misbruikt. HOLLOWGRAPH zet kalenderevents in als tweerichtings “dead-drop”. Daarbij wordt gebruikgemaakt van de Microsoft Graph API en van de mailboxagenda van het gecompromitteerde account.

Het mechanisme werkt volgens Group-IB als volgt:

operators plaatsen taakopdrachten als calendar events
de implant exfiltreert bestanden door zelf nieuwe events aan te maken
de payload wordt in de vorm van versleutelde data als bijlage toegevoegd

Om de eigenaar van de mailbox niet meteen op te laten vallen, worden events “ver in de toekomst” gedateerd. In de beschreven observaties gaat het om een datum als 13 mei 2050, waardoor de mailboxgebruiker geen directe meldingen rond het nu te verwachten tijdsvenster ziet.

Tegelijkertijd wordt DNS tunneling ingezet om Microsoft Entra ID-credentials te verversen waarmee authenticatie bij Graph mogelijk blijft. Die vernieuwing wordt doorgezet naar een lokaal bestand op disk.

Volgens de rapportage is er een .NET NativeAOT-compiled DLL met de naam HOLLOWGRAPH die op 7 juni 2026 in het wild werd waargenomen.

Waarom dit detectie lastiger maakt

De rode draad in de bevindingen is dat Cavern C2 (en aanverwante modules) kiest voor het “camoufleren” van netwerkverkeer. In plaats van enkel ongebruikelijke verbindingen te starten, leunt het framework op legitieme platformdiensten (zoals Microsoft 365 en Google-diensten) en op communicatiepatronen die lijken op normale bedrijfsprocessen.

Dat betekent dat defensieteams niet alleen moeten zoeken naar IP’s of domeinen, maar ook naar gedragsafwijkingen, zoals:

DNS-query’s die niet passen bij het normale resolutiepatroon van clients
verkeer naar bekende cloudservices dat inhoudelijk niet klopt met het gebruikelijke profiel van een organisatie
het maken of aanpassen van agenda-events die geen logisch raakvlak hebben met het dagelijks werk
het optreden van tunneling-achtige patronen bij herhaalde authenticatiesessies

Wie zich hierop voorbereidt, kan sneller onderscheid maken tussen “legitieme SaaS-activiteit” en misbruik ervan.

Extra context: APT42 en TAMECAT in dezelfde periode

De publicatie gaat ook kort in op een andere terugkerende actor: APT42. DarkAtlas beschrijft het gebruik van TAMECAT in spear-phishing-aanvallen richting personen in de nucleaire energiesector. Daarbij worden LNK-bestanden gebruikt die worden gepresenteerd als PDF’s.

De malwareketen levert TAMECAT op, een modulaire surveillance- en verzameltool die onder meer enumeration, discovery, commando-uitvoering, browser credential/cookie collectie, Outlook .ost mailboxverzameling en screenshot capture ondersteunt. Ook zijn er fallback-mechanismen voor C2 en exfiltratie.

Daarnaast wordt beschreven dat APT42 generatieve AI inzet om delen van de operatie te versnellen, zoals toolingontwikkeling en het vertalen van informatie. Het punt voor defenders: AI versnelt niet alleen contentproductie, maar kan ook bijdragen aan meer efficiënte aanvalspaden.

Praktische aanbevelingen voor security teams

Hoewel je nooit alles met één regelset afvangt, helpen de inzichten uit Cavern C2 bij het aanscherpen van je aanpak:

Verbreding van detecties: combineer DNS-telemetrie met netwerkobservaties van cloudapplicaties en tenant-activiteiten.
Let op “functionele afwijkingen”: agenda-events die ver in de toekomst staan, ongewone Graph-acties of proxy-/tunneling-achtig gedrag zijn signalen.
Werk vanuit incident-ready logging: zorg dat logging rond Microsoft 365, Graph API calls, en DNS-resolutie beschikbaar is voor snelle reconstructie.
Patch en beheer op orde: dit artikel gaat over C2, maar je basis hygiëne blijft essentieel om de kans op compromittering te verkleinen.

Wil je meer lezen over hoe aanvallers platformen en componenten misbruiken om detectie te omzeilen? Dan zijn ook onderstaande artikelen relevant:

Conclusie

Cavern C2 laat zien dat command-and-control niet statisch is. De combinatie van DNS A-records als schakelmechanisme, dynamische keuze tussen direct HTTPS en Google Apps Script relays, en het gebruik van legitieme cloudservices als verborgen kanaal verhoogt de moeilijkheidsgraad voor netwerkdetectie aanzienlijk.

Daar bovenop maakt HOLLOWGRAPH van Microsoft 365 kalenderevents een tweerichtings berichtensysteem, inclusief subtiele timing om gebruikers niet direct te alerteren. Voor security teams komt het neer op één boodschap: verdiep je detectie in gedrag en context, niet alleen in “bekende IOC’s”.

Bron: https://thehackernews.com/2026/08/cavern-c2-uses-dns-and-google-apps.html