Cavern Manticore: קבוצה עם זיקה לאיראן פוגעת בספקי IT בישראל, לפי Check Point
Check Point Research חושפת מסגרת שליטה מודולרית של קבוצה שמכוונת לגופי ממשל וחברות IT בישראל. התוקפים עוברים מספק IT אחד לאחר, ומשתמשים בכלי ניהול מרחוק.
TL;DR בקצרה
- Check Point Research פרסמה ב-6 ביולי 2026 דוח על Cavern Manticore, קבוצה עם זיקה אפשרית לאיראן.
- היעדים העיקריים הם גופי ממשל וחברות IT בישראל, ולעיתים הקבוצה עוברת בין שני ספקי IT עד שהיא מגיעה ללקוח.
- בכמה פריצות הנקודה הראשונה הייתה כלי RMM שכבר פעל בארגון, ולא חולשה בו. SysAid עצמה לא נפרצה.
- רוב הדגימות קיבלו אפס זיהויים או מעט מאוד ב-VirusTotal, לפי Check Point.
Check Point Research חשפה ב-6 ביולי 2026 את Cavern Manticore, קבוצה עם זיקה אפשרית לאיראן. היא פועלת נגד ארגונים בישראל. לפי החוקרים, היא תוקפת בעיקר גופי ממשל וחברות IT. היא נכנסת דרך ספקי IT. תחילה היא פורצת לספק אחד, ולפעמים היא ממשיכה לספק נוסף עד היעד האמיתי.
הדוח מתאר מסגרת שליטה מודולרית שנבנתה ב-.NET. Check Point עוקבת אחריה מתחילת 2026. החוקרים מדגישים שהקשר לאיראן אפשרי ולא ודאי.
Cavern Manticore: מי הקבוצה ואיך היא מגיעה ליעד
Check Point מעריכה שהקבוצה קשורה למשרד המודיעין האיראני, MOIS. לפי הדוח יש חפיפות טכניות בין הכלים שלה ובין MuddyWater ו-Lyceum, תת-קבוצה של OilRig. נימוק נוסף: דומיין השורש של אחד משרתי השליטה נרשם דרך Fars Data, ספקית אחסון איראנית. הדוח עצמו מציין שהזיקה האיראנית אפשרית ולא מאושרת.
הקבוצה מכירה היטב את שרשרת האספקה של ה-IT בישראל. במקרים מסוימים היא עברה מספק IT שנפרץ לספק נוסף, ורק משם הגיעה ליעד. ספק IT הוא יעד נוח, כי יש לו גישה מהימנה אל הלקוחות שלו.
כלי ניהול מרחוק ו-SysAid: כך Cavern Manticore מתפשטת ברשת
RMM, או Remote Monitoring and Management, הוא כלי לניהול מחשבים מרחוק. ספקי IT משתמשים בו אצל לקוחות. לפי הדוח, בכמה פריצות נקודת האחיזה הראשונה הייתה שימוש לרעה ב-RMM שכבר פעל בארגון. התוקפים השתמשו בכלים כאלה כדי לעבור בין מחשבים ולהפיץ נוזקה שמתחזה לעדכון רגיל.
באחת השרשראות שתועדו, התוקפים הפעילו את תכונת העדכון של SysAid כדי לשלוח חבילה למחשב אחר. החבילה מניחה את WinDirStat.exe בתיקייה C:\ProgramData\WinDir. התוכנה הלגיטימית הזאת טוענת ספרייה מזויפת בשם uxtheme.dll, והספרייה טוענת את מודול התקשורת לשרת השליטה. הטכניקה ידועה בשם DLL sideloading.
חשוב להבהיר: התוקפים לא פרצו ל-SysAid, ואין כאן חולשה במוצר שלה. הם כבר שלטו בסביבה של הקורבן, ורק ניצלו את תכונת העדכון הלגיטימית. Check Point מדגישה זאת במפורש בדוח.
לצד RMM, הקבוצה השתמשה בכלי גישה לשולחן העבודה שרצים בדפדפן. כשהארגון חסם העתקה של הלוח והעברת קבצים, התוקפים הוציאו מידע גם דרך הדפסה מרחוק.
מה הכלי עושה, ולמה קשה לזהות אותו
הרכיב הראשי של Cavern פועל כמתאם. הוא טוען מודולים לפי הצורך. יש מודול לניהול קבצים ולפענוח נתונים שמוגנים ב-DPAPI, ומודול לעיון במסדי נתונים של SQL. אחד המודולים סורק את Active Directory דרך LDAP ומנסה לנחש סיסמאות.
מודול נוסף סורק את הרשת ומנסה לנחש סיסמאות של שיתופי SMB. המודול האחרון בונה מנהרות תקשורת מסוג SOCKS5 ו-WebSocket. כך התוקפים יכולים להעביר תעבורה פנימית אל מחוץ לארגון.
כמה דברים מקשים על הגילוי. הרכיבים מקומפלים בשלושה פורמטים של .NET, ולכן האנליסטים צריכים כמה סוגי כלי ניתוח. כל מודול רץ בסביבת AppDomain משלו ונסגר אחרי השימוש. לפי Check Point, רוב הדגימות קיבלו אפס זיהויים, או מעט מאוד, ב-VirusTotal.
שאלה אחרת היא מי כתב את הכלי. לפי SecurityWeek, Check Point מעריכה שמודל AI כנראה עזר בכתיבה. הערות בקוד, שגיאות כתיב ואי-עקביות בין המודולים מצביעות על עבודה אנושית רבה.
מה זה אומר עבורכם
- מפו את כלי הניהול מרחוק: רשמו אילו כלי RMM פועלים בארגון. רשמו גם מי מחזיק בהם גישה, כולל הספקים שלכם. הפעילו אימות דו-שלבי והגבילו את משך הגישה מרחוק.
- חפשו עקבות של sideloading: בדקו את
C:\ProgramData. חפשו תיקיות חדשות, ספריות DLL במקומות חריגים וקבצים בלי חתימה. בדקו גם הרצות של uxtheme.dll מחוץ למקומה הרגיל. - בדקו סימני פריצה: Check Point פרסמה בדוח גיבובים, שמות של mutex ודומיינים. אחד מהם הוא hospitalinstallation[.]com. אפשר להשוות אותם ליומני ה-DNS והתהליכים.
- שאלו את ספקי ה-IT: שאלו איך הם מגנים על כלי הניהול שלהם. שאלו גם מה הם עושים אם תוקפים חודרים אליהם. זה בדיוק המסלול שבו הקבוצה מדלגת מספק לספק.
- אל תסתמכו רק על חתימות: Check Point ממליצה על זיהוי התנהגותי. פעולות חריגות של כלי RMM, כמו התקנת עדכון לא צפוי, צריכות להפעיל התראה.
מה קרה מאז
Group-IB פרסמה ב-20 ביולי 2026 מחקר על HollowGraph. זו נוזקה שהופכת לוחות שנה של Microsoft 365 לערוץ שליטה. לדברי Group-IB, ברמת ביטחון גבוהה זהו וריאנט של מסגרת Cavern, והיא מפנה לדוח של Check Point. Group-IB לא ייחסה את הקמפיין לקבוצה מוכרת. קשר ל-Lyceum הוא רק בביטחון נמוך, לדבריה.
מקורות והרחבה
- Cavern Manticore: Exposing Iran-Linked Modular C2 FrameworkCheck Point Research
- Iran-Linked Hackers Using Modular C&C Framework in CyberattacksSecurityWeek
- HOLLOWGRAPH: Turning Microsoft 365 Calendars into Covert Command-and-Control ChannelsGroup-IB
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
