原创

Z
Z

威胁情报Z分析

2026年7月13日%2008:23
海南

在小说阅读器读本章

去阅读

一个与伊朗有关联的新黑客组织被发现滥用日常IT工具，将恶意软件植入以色列网络。

研究人员将该组织命名为“洞穴狮身蝎尾兽”，其最新攻击活动表明，攻击者在隐藏于众目睽睽之下方面变得多么富有创造力。

该组织不采用花哨的漏洞利用方式，而是依靠组织已经信任的软件。这场行动的核心技术是将有用的软件变成间谍工具的传播媒介。

攻击者利用远程监控和管理平台%20SysAid%20推送虚假软件更新。该更新会悄悄地释放一个看似合法的文件，但其中却加载了隐藏的恶意代码，这种方法被称为%20DLL%20侧加载。

Check%20Point%20的研究人员在深入调查与以色列%20IT%20服务提供商相关的异常活动后，发现了这一攻击活动。该组织并未止步于一家公司，而是先从一家被入侵的%20IT%20服务提供商转移到另一家机构，最终才抵达其真正的目标。

Check%20Point%20在一份与网络安全新闻%20(CSN)%20分享的报告中表示，这款名为%20Cavern%20的恶意软件是一个模块化框架，这意味着它的各个部分可以根据攻击者想要做的事情进行替换。

部分组件负责基本通信，而其他组件则专门用于窃取文件、入侵数据库或扫描网络。这种设计使得攻击组织无需重建所有组件即可针对每次攻击进行定制。

Cavern%20难以检测的原因在于它使用了三种不同的方式编译同一段代码。每种版本都需要不同的工具集进行分析，这大大减慢了防御者弄清恶意软件运作方式的速度。

结合与%20MuddyWater和%20Lyceum%20等伊朗组织的联系，这表明对手是一个耐心且资源充足的对手。

Cavern%20Manticore%20滥用%20SysAid%20RMM%20和%20WinDirStat%20DLL%20侧加载

感染始于%20Cavern%20Manticore%20滥用%20SysAid%20内部的软件更新功能，提供与%20WinDirStat（一个合法的磁盘使用情况工具）关联的文件包。

当真正的%20WinDirStat%20程序运行时，它会在不知不觉中加载一个名为%20uxtheme.dll%20的%20Windows%20文件的伪造版本，而这实际上是伪装的%20Cavern%20后门。

一旦激活，该后门程序会连接到处理网络流量的独立文件，对通信进行加密，使其更难被发现。

然后，它会根据需要下载额外的模块，为攻击者提供浏览文件、查询数据库、搜索目录或深入网络隧道的工具。

每个模块都在独立的空间中运行，并在完成后从内存中移除，这使得调查人员日后更难找到证据。该恶意软件还会清理自身，删除其工作文件夹中的大部分文件，只保留维持运行所需的文件。

这种清理工作是故意采取的反取证措施，旨在阻挠事后任何人拼凑出事件真相。

洞穴蝎尾狮的目标是谁？

Cavern%20Manticore%20似乎专注于以色列的组织，特别是政府和%20IT%20服务领域的组织。

对%20IT%20服务提供商的兴趣并非偶然，因为这些公司通常拥有进入其他企业的可靠渠道，这使它们成为通往更艰巨目标的理想跳板。

调查人员追踪到该基础设施指向一个通过伊朗主机提供商注册的域名，这进一步证实了该活动与国家有关。

与%20MuddyWater%20和%20Lyceum（均与伊朗情报部门有关联）所使用的技术存在重叠，这印证了这种联系。

入侵指标（IoC）