Malware Cavern C2 Gunakan DNS Tunneling dan Google Apps Script untuk Kamuflase Serangan

Laporan terbaru dari Kaspersky, Check Point Research, dan Group-IB membeberkan evolusi arsitektur serangan dari kelompok peretas tingkat negara (nation-state threat actor) yang menggunakan kerangka kerja Cavern (Cav3rn) Command and Control (C2).

Modus Operandi: Living-off-the-Cloud

Malware Cavern menggunakan teknik Living-off-the-Land (LotL) tingkat lanjut dengan menyalahgunakan ekosistem cloud publik terpercaya (seperti Google Workspace dan Microsoft 365) untuk mengelabui deteksi Security Operations Center (SOC) dan firewall perimeter.

Salah satu modul terbaru yang diidentifikasi, yaitu GoogleService.dll, membaca konfigurasi lokal dan melakukan query DNS A-record untuk menentukan apakah transmisi data akan dikirim melalui koneksi langsung HTTPS atau dialihkan melalui Google Apps Script relay. Pendekatan ini membuat lalu lintas perintah malware tampak 100% identik dengan request API Google resmi.

🕵️ Taktik & Teknik Utama (MITRE ATT&CK):

• DNS Tunneling: Digunakan untuk rotasi deployment ID dan penyegaran token otentikasi Entra ID (Azure AD).
• Covert Dead-Drop: Modul HOLLOWGRAPH memanfaatkan Microsoft Graph API untuk menyembunyikan payload dan file curian di dalam event kalender Microsoft 365 bertanggal tahun 2050 agar tidak disadari oleh pemilik akun.
• Adopsi Generative AI: Grup peretas terkait (seperti APT42) terdeteksi memanfaatkan AI generatif untuk mempercepat pembuatan modul spear-phishing dan otomasi translasi bahasa.

Dampak bagi Ketahanan Siber Korporat & Pemerintahan

Evolusi ancaman Cavern membuktikan bahwa pertahanan berbasis daftar hitam (IP blacklisting) atau perimeter konvensional tidak lagi memadai ketika penyerang mengeksploitasi protokol legal seperti DNS dan domain resmi Google/Microsoft.

Strategi Pertahanan Terpadu IRZA SOLUSI

Untuk memitigasi ancaman spionase siber berbasis protokol cloud, IRZA SOLUSI merekomendasikan pendekatan pertahanan mendalam (Defense-in-Depth):

1. DNS Security & Inspection: Terapkan DNS firewall dan inspeksi anomali tunneling terhadap permintaan record A dan TXT yang tidak lazim.
2. Audit Hak Akses OAuth & Graph API: Batasi permission aplikasi pihak ketiga di portal Microsoft Entra ID dan Google Cloud Workspace.
3. Implementasi Zero Trust & Behavioral Endpoint Detection: Gunakan sistem EDR/XDR yang mampu mendeteksi aktivitas injeksi proses DLL lokal (seperti rnp.dll).