Kaspersky zufolge markiert die neu entdeckte Komponente GoogleService.dll den jüngsten Ausbau der Cavern-Infrastruktur. Das Modul liest eine Konfigurationsdatei namens „conf.json“ vom Datenträger und führt anschließend eine DNS-Abfrage auf A-Records aus. Auf dieser Basis entscheidet es, ob die Kommunikation direkt per HTTPS erfolgt oder über ein Relay mit Google Apps Script geleitet wird.
Wählt die DNS-Antwort den Google-Modus, sendet das Modul Anfragen an eine Apps-Script-Bereitstellung, die diese an ein von den Angreifern kontrolliertes Backend weiterreicht. Fällt die Wahl auf direktes HTTPS, kontaktiert das Modul die konfigurierte Adresse ohne den Umweg über das Relay. Nach Darstellung von Kaspersky lässt sich über dieselbe DNS-Infrastruktur auch die Bereitstellungskennung des Relays validieren und ersetzen.
Zusätzlich hat Kaspersky einen Inter-Component-Broker mit der Bezeichnung rnp.dll identifiziert. Diese Komponente dient als lokale Brücke innerhalb des Frameworks, findet DLL-Bausteine, lädt sie, leitet Nachrichten zwischen ihnen weiter und unterstützt Aktualisierungen zur Laufzeit. Als zugehörige Domain nennt das Unternehmen „studiotikva[.]com“: Sie wurde demnach erstmals im Februar 2024 registriert, lief im Februar 2026 ab und wurde drei Monate später erneut registriert.
Cavern war Anfang Juli 2026 von Check Point Research erstmals öffentlich beschrieben worden. Das Framework umfasst mehrere bewegliche Teile, darunter einen Agenten und verschiedene Module für dateibezogene Operationen, die Auflistung von SQL-Datenbanken, Active-Directory-Aufklärung, LDAP-Brute-Force-Angriffe, Netzwerkaufklärung sowie SOCKS5-Proxy- und WebSocket-Tunneling. Der Einsatz von Cavern wird mit Cavern Manticore in Verbindung gebracht, einer Gruppe mit Bezug zum iranischen Ministry of Intelligence and Security (MOIS), die Überschneidungen mit MuddyWater und einer OilRig-Untergruppe namens Lyceum aufweist.
Zwei kurz aufeinander folgende Berichte von Group-IB und Kaspersky hatten zuvor ein weiteres Modul mit dem Namen HOLLOWGRAPH beschrieben. Dieses missbraucht Microsoft-365-Kalender als verdeckten C2-Kanal. Laut Group-IB verwendet die Schadsoftware die Microsoft Graph API, um Dateien auszuleiten und Befehle über Kalenderereignisse zu empfangen. Dabei werde der Kalender des kompromittierten Postfachs wie ein beidseitig nutzbarer toter Briefkasten behandelt: Die Betreiber hinterlegen Aufgaben als Termine, und das Implantat erstellt eigene Ereignisse mit angehängten verschlüsselten Daten. Um die Besitzer des Postfachs nicht aufmerksam zu machen, seien alle Ereignisse weit in die Zukunft auf den 13. Mai 2050 datiert.
Parallel dazu nutzt HOLLOWGRAPH DNS-Tunneling, um die für die Authentifizierung an der Graph API verwendeten Microsoft-Entra-ID-Zugangsdaten zu erneuern und die aktualisierten Werte in eine Textdatei auf dem Datenträger zu schreiben. Die als .NET NativeAOT kompilierte DLL wurde erstmals am 7. Juni 2026 im praktischen Einsatz entdeckt.
Nach Einschätzung von Kaspersky erfolgte die Umstellung von Cavern auf eine modulare, erweiterbare Architektur mit Plugin-System Ende April 2026. Das Unternehmen bringt das Framework seitdem mit geringer Sicherheit mit OilRig, auch APT34 genannt, in Verbindung, obwohl es nach eigener Aussage weder direkte Code-Wiederverwendung noch Überschneidungen in der Infrastruktur gibt.
Kaspersky wertet die Nutzung legitimer Dienste als Teil der fortlaufenden Weiterentwicklung des Frameworks. Nachdem zuvor schon Outlook-Kalenderereignisse missbraucht worden seien und nun Google Apps Script hinzukomme, mische sich der C2-Verkehr in normalen Netzwerkverkehr und erschwere netzwerkbasierte Erkennung.
Im selben Zusammenhang verweist der Quelltext auf aktuelle Erkenntnisse von DarkAtlas zu APT42. Demnach setzte die Gruppe TAMECAT noch im April und Mai 2026 in Spear-Phishing-Angriffen gegen Personen mit Bezug zum Nuklearenergiesektor ein. Die Angriffe nutzten LNK-Dateien, die sich als PDF-Dokumente ausgaben. DarkAtlas zufolge basierte das Social Engineering auf Podcast- und Intervieweinladungen. TAMECAT selbst wird als modulares Framework für Überwachung und Sammlung beschrieben, das Aufklärung, beliebige Befehlsausführung, das Sammeln von Browser-Zugangsdaten und Cookies, das Einsammeln von Outlook-.ost-Postfächern, Bildschirmaufnahmen sowie alternative C2- und Exfiltrationsmechanismen unterstützt. Zudem habe APT42 generative künstliche Intelligenz eingesetzt, um spezialisierte Werkzeuge zu entwickeln, Exploitationstechniken zu recherchieren, Sprache zu übersetzen, offizielle E-Mail-Adressen zu identifizieren und interessante Ziele zu untersuchen.