Project CAV3RN、Google Apps ScriptとDNSを悪用しC2通信を隠蔽 ― イスラエル標的のサイバースパイ攻撃

イスラエル国内の組織を標的とするモジュール型サイバースパイフレームワーク「Project CAV3RN」に、洗練された新たなコマンド&コントロール(C2)設計が追加されたことが判明しました。この設計では、直接的なHTTPS通信とGoogle Apps Scriptを経由する中継通信を動的に組み合わせています。

今回の最新の調査結果からは、攻撃者が単一のC2チャネルに依存するのではなく、耐障害性・モジュール性・ネットワーク上の偽装を重視していることがうかがえます。

これまでの報道では、Microsoft Graphを介したMicrosoft Outlookのカレンダーイベントを悪用する手口が報告されており、DNSは復旧用の仕組みとして利用されていました。

今回新たに確認された実装では、この方式に代わってマルチトランスポート型のアーキテクチャが採用されており、攻撃者が管理するインフラとGoogleの正規クラウドサービスとの間で通信を切り替えられるようになっています。

この新しい仕組みの中核となっているのが、64ビットの.NET 8 NativeAOTによる通信モジュールGoogleService.dllです。

このDLLは、C2サーバへのポーリング、タスクの受信、ローカルのフレームワークブローカーへのコマンド中継、そして実行結果の返送を担っています。

その設定情報には、api.studiotikva[.]comという直接のC2エンドポイント、Apps Scriptのデプロイメントメント、組み込みの認証キー、そしてブラウザを模したUser-Agent文字列がハードコードされています。

このマルウェアは、どのトランスポートを使うかをあらかじめ固定的に決めるのではなく、C2との通信を行うたびにm.studiotikva[.]com配下のDNS Aレコードを問い合わせます。

アンチウイルスソフトの導入

返却されたIPv4アドレスの末尾のオクテットは、簡易的な制御信号として機能します。この値とモジュール側の現在のエラー状態の両方に応じて、マルウェアは直接HTTPSリクエスト、Apps Script経由の中継、あるいは通信の終了のいずれかを選択します。

これにより攻撃者は、マルウェア本体やディスク上の設定ファイルを変更することなく、リクエスト単位で通信経路を制御できるようになっています。

このDNSチャネルは、Google経由の中継の復旧プレーンとしても機能します。CAV3RNは、設定済みのApps ScriptデプロイメントIDのMD5ダイジェストの先頭4バイトをDNSの応答と照合することで、その正当性を検証します。

検証に失敗した場合、マルウェアは特殊な形式の.pサブドメインへのクエリを通じて、代替のデプロイメントIDを分割して取得します。

取得された値はconf.jsonに書き戻され、攻撃者はGoogle上でホストされる中継先をローテーションさせながらも、侵害済みシステムへのアクセスを維持できるようになります。

「Googleモード」が選択された場合、マルウェアはJSON形式のPOSTリクエストを用いてApps Scriptのエンドポイントと通信します。

Kasperskyの研究者らによれば、CAV3RNは単純なダウンローダー・実行モジュール・アップローダーという構成から急速に進化を遂げ、実行時にプラグインの読み込み・置き換え・連携制御が可能なコントローラー主導型のプラットフォームへと変貌しているといいます。

この中継サーバは外部からのリクエストを受け取ると、攻撃者が管理するバックエンドに対してGETまたはPOST操作をプロキシします。通常のネットワーク監視システムからは、この通信は一般的なGoogleホスト型自動化サービスへのアクセスのように見える可能性があります。

ブラウザから直接アクセスした場合には、「My App」というタイトルのアプリケーションが正常に稼働している旨を示す無害なページが表示され、これがさらなる偽装の役割を果たしています。

Project CAV3RNによるGoogle Appsの悪用

直接HTTPS経路では、https://api.studiotikva[.]com/api/v1/update/checkに接続し、カスタムのX-Client-Idヘッダーを必要とします。

応答はBase64でエンコードされたうえで0xACによるXOR難読化が施され、フレームワークのローカルブローカーに渡されます。

このブローカーはrnp.dllとして識別されており、RNP OpenPGPライブラリに関連するエクスポート関数を装っています。

内部的には、互換性のあるDLLをスキャンし、会社名ごとに候補をグループ化したうえで最も新しいバージョンのコンポーネントを読み込み、1秒ごとにホスト上のディレクトリを再スキャンして更新の有無を確認します。

この仕組みにより、CAV3RNの攻撃者はホストプロセスを再起動することなくモジュールを追加・置き換えできます。ブローカーは読み込まれたコンポーネント間でメッセージを中継するほか、インストール済みのプラグインとそのパスを列挙できるインベントリコマンドも備えています。

こうしたローカルでのオーケストレーション機能により、初期侵害後もフレームワークを柔軟に適応させることができ、長期にわたるスパイ活動を支えています。

関連するドメインstudiotikva[.]comは、有効期限切れの後、2026年5月に再登録されたとみられています。

このドメインは、権威DNSサービス、直接HTTPSのバックエンド、そしてもっともらしく見せかけるための「Studio Tikva」というカバーサイトをホストしていました。「Tikva」はヘブライ語で「希望」を意味しており、インフラを文脈的にそれらしく見せかけようとした痕跡がうかがえます。

防御側にとって特に重要な兆候となるのは、studiotikva[.]com配下の動的に生成されたサブドメインへの不審なDNSクエリのアクセス、末尾のオクテットによってアプリケーションの挙動が決定されるDNS応答、そしてGoogle Apps ScriptエンドポイントへのPOST通信に続いてscript.googleusercontent.comへリダイレクトされる一連の動きです。

セキュリティチームは、これらの痕跡と併せて、不審なX-Client-Idヘッダー、.NET NativeAOT形式のDLL、そして不審なコンポーネント読み込みの挙動についても相関分析を行うべきです。

セキュリティコンサルティングサービス

CAV3RNがOutlookカレンダーからGoogle Apps Scriptへと手法を移行させたことは、明確な傾向を浮き彫りにしています。正規のクラウドプラットフォームが、使い捨てかつローテーション可能なC2インフラとして転用されつつあり、従来のドメインレピュテーション管理だけではブロックが格段に難しくなっているのです。

侵害指標(IOC)

注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(defang、例: [.])としています。実際のアドレスへの復元は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

[ライブウェビナー] ElasticとUnderDefenseが開催するウェビナーにご参加ください。小規模なセキュリティチームがAIの可視化とエージェント型のレスポンスを一つの運用モデルに統合する方法を学べます。-> 今すぐ登録