Cavern Manticore伊朗APT实战分析：SysAid供应链投毒与\.NET免杀C2检测方案

前言传统APT防御体系长期依赖漏洞补丁、恶意特征库、威胁情报比对三件套。绝大多数安全团队的检测逻辑都建立在“攻击者利用未知漏洞、落地已知恶意样本、产生固定C2流量”的固有认知里。但2026年Check Point Research披露的伊朗Cavern Manticore攻击事件彻底打破了这套防御逻辑。本次攻击全程未动用任何0day、Nday漏洞完全依托合法商用软件的原生能力、.NET官方编译特性完成投毒、驻留、渗透全流程实现了近乎全主流杀毒、EDR产品的静态与动态免杀。更关键的是攻击者自研的Cavern C2框架采用模块化内存加载、执行自卸载架构终端磁盘无有效取证残留常规查杀、溯源手段完全失效。这支隶属于伊朗MOIS伊朗情报与国家安全部的APT组织并非依靠新颖攻击载荷取胜而是最大化滥用了政企信任的合法业务工具打造出一套可复用、高隐蔽、低成本的“零漏洞”持久化攻击体系。本文将从真实攻击链路、核心技术原理、对抗机制拆解、落地检测脚本、防御加固方案、组织溯源六个维度完整复盘Cavern Manticore攻击细节提供可直接落地的检测规则、内存扫描脚本、流量过滤策略帮助安全从业者建立针对合法软件滥用型APT的防御思维。1 事件核心背景与攻击目标画像1.1 组织基础信息Cavern Manticore是伊朗MOIS旗下的定向攻击分队长期深耕中东区域政企目标尤其聚焦以色列政府机构、本土IT服务商、关键基础设施企业。该组织不追求大规模批量攻击所有行动均为精准定向渗透攻击前会完成完整的目标业务架构、供应链体系、运维工具摸排。从技术指纹、攻击战术、目标选择来看该组织与伊朗老牌APT阵营高度同源核心技术栈继承自MuddyWater、Lyceum、OilRig三大组织属于伊朗官方APT体系的迭代作战单元仅在武器框架上完成了全新自研升级。1.2 攻击核心特征本次曝光的攻击行动区别于常规APT攻击的核心特点就是无漏洞利用、全合法链路滥用。攻击者没有破解系统权限、没有溢出系统服务、没有绕过软件权限校验只是利用了政企运维体系中两个绝对可信的工具能力SysAid运维平台的更新机制、RMM远程管理软件的远程下发权限。在绝大多数企业的安全基线中SysAid、RMM这类运维工具被默认加入白名单其进程行为、文件加载、网络通信长期不被严格审计这也是本次攻击能够实现全域免杀、长期潜伏的核心原因。1.3 攻击目标核心属性攻击者优先选择为多个政企提供服务的第三方IT运维服务商作为突破口。这类上游服务商具备极高的供应链权限一旦被攻陷攻击者可以借助服务商的可信身份向下游众多政企客户推送恶意载荷实现“一次入侵、多点渗透”的供应链扩散效果攻击收益远高于单点突破。2 完整攻击链路复盘附流程架构图Cavern Manticore的攻击流程逻辑清晰、层层递进从供应链前置突破到最终数据窃取、内网控制每一个环节都规避了传统安全设备的检测规则。整体链路可以分为五个核心阶段我将结合实操场景拆解每一步的攻击动作与绕过逻辑。2.1 攻击全流程拆解第一步供应链上游入侵搭建可信跳板攻击者通过社工、弱口令爆破、上游服务商外围资产漏洞等方式入侵第三方IT运维服务商的办公及运维服务器。该阶段仅获取服务商内网基础权限不落地任何恶意载荷避免早期暴露。攻击者重点摸排服务商的SysAid运维平台、RMM远程管理系统的权限架构、更新机制、下发策略掌握合法工具的运行逻辑。第二步篡改合法更新链路投毒恶意DLL载荷获取运维平台权限后攻击者不替换主程序仅篡改SysAid的更新资源包将自制恶意DLL嵌入官方更新目录。同时利用RMM软件的远程批量下发功能向所有托管的政企终端推送加载配置。因为载荷依托官方更新渠道、白名单运维工具分发终端杀毒与EDR不会触发告警。第三步DLL侧加载触发无痕迹启动后门政企终端正常执行SysAid更新、启动RMM运维进程时会按照原生依赖加载逻辑加载攻击者投放的恶意DLL。整个触发过程依托合法进程完成无新进程创建、无弹窗异常、无权限篡改日志行为完全贴合正常业务操作。第四步Cavern框架内存驻留模块化按需加载恶意DLL被加载后仅初始化核心加载器驻留内存本地磁盘不落地任何完整木马文件。AD枚举、数据库窃取、SOCKS5隧道、远程Shell等功能模块均根据C2服务器指令实时拉取至内存执行任务结束后即刻从内存卸载无残留痕迹。第五步内网横向渗透与数据窃取后门驻留成功后攻击者通过C2下发指令枚举内网AD域信息、抓取数据库凭证、搭建内网代理隧道横向移动至核心业务服务器窃取涉密文档、配置文件、密钥数据最终通过加密自定义HTTP通道回传数据完成攻击闭环。2.2 攻击链路流程图Cavern Manticore 攻击者第三方IT运维服务商SysAid运维平台RMM远程管理软件政企终端主机攻击者C2服务器入侵服务商内网获取运维平台权限篡改更新资源植入恶意DLL配置远程下发策略推送加载规则合法更新流程下发带毒资源远程指令触发DLL侧加载合法进程加载恶意DLL启动内存加载器主动心跳连接等待指令按需下发功能模块AD/隧道/窃取/Shell内存执行模块执行后自动卸载回传窃取数据、内网资产信息远程控制内网主机横向移动Cavern Manticore 攻击者第三方IT运维服务商SysAid运维平台RMM远程管理软件政企终端主机攻击者C2服务器2.3 Cavern C2框架技术架构图内存驻留核心基座反分析层覆盖规避不同检测工具覆盖规避不同检测工具覆盖规避不同检测工具模块化插件层指令触发加载指令触发加载指令触发加载指令触发加载指令触发加载通信对抗层流量混淆流量混淆自销毁机制无磁盘残留恶意DLL加载器Cavern 核心框架三重编译形态适配.NET Framework 托管编译C/CLI 混合编译.NET Native AOT 原生编译按需加载功能模块AD域枚举模块数据库访问窃取模块SOCKS5隧道代理模块文件批量窃取模块交互式远程Shell模块自定义HTTP C2通信随机域名轮换自定义请求头伪装任务执行完毕内存卸载规避取证与静态查杀3 Cavern核心技术与对抗机制深度拆解本次攻击的技术核心不在于复杂漏洞利用而在于极致的对抗设计与合法特性滥用。Cavern框架的所有免杀、反分析、无痕驻留能力全部基于.NET官方原生特性实现无自研畸形指令、无违规系统调用这也是其能绕过绝大多数AV、EDR检测的根本原因。3.1 三重.NET编译形态多层反分析壁垒攻击者针对同一套Cavern框架业务逻辑编译出三种完全不同的程序形态三种形态的文件结构、运行机制、分析方式完全独立安全人员需要掌握三套逆向分析方法才能完成完整溯源极大抬高了研判门槛。.NET Framework 托管编译这是最基础的编译形态生成标准IL中间代码程序。常规.NET逆向工具dnSpy、ILSpy可直接反编译查看源码。但攻击者在此基础上做了字符串加密、IL混淆、反调试校验静态分析只能看到混乱代码无法直接获取核心逻辑。该形态主要用于低防护终端的批量投递。C/CLI 混合模式编译这是极具迷惑性的形态将托管.NET代码与原生C代码融合编译。程序内部同时包含IL中间代码与机器码常规.NET逆向工具只能解析部分托管代码原生C恶意逻辑完全隐藏常规内存扫描工具无法识别.NET进程内的原生恶意指令。绝大多数EDR的.NET专项检测规则对混合编译程序完全失效。.NET Native AOT 原生预编译这是免杀效果最强的形态。.NET Native AOT是微软官方原生编译技术直接将.NET代码一次性编译为平台原生机器码程序运行完全脱离CLR托管环境无IL中间代码、无.NET运行依赖。传统针对.NET进程的特征扫描、IL检测、托管内存分析工具全部失效市面上90%以上的终端安全产品无法识别该形态恶意样本。三种编译形态交叉投递让单一检测规则、单一分析工具无法覆盖所有样本实现了检测与溯源的双向对抗。3.2 模块化按需加载内存自卸载零磁盘残留Cavern框架彻底抛弃了传统木马“落地完整程序、常驻进程、留存日志”的架构采用插件化轻量化设计从根源上规避静态查杀与磁盘取证。核心加载器体积极小仅负责维持C2心跳、接收指令、拉取插件驻留于SysAid、RMM合法进程内存中不会创建独立可疑进程。所有渗透功能模块都不预装仅当攻击者下发对应指令时才从C2服务器加密拉取模块代码注入内存执行。模块执行完成后框架会主动清空对应内存区块、卸载插件句柄、删除运行痕迹整个过程不会在磁盘生成临时文件、不会写入注册表、不会留存系统日志。终端全盘扫描、文件查杀、进程快照排查均无法捕捉到有效恶意证据溯源工作基本无法开展。3.3 全维度AV/EDR免杀对抗体系结合合法进程宿主、内存驻留、编译形态混淆、流量伪装四大能力Cavern实现了近乎全品类安全产品的免杀效果具体对抗维度如下静态查杀对抗无落地恶意文件、无固定文件特征、三重编译形态无统一哈希绕过所有基于文件特征的AV查杀进程行为对抗依托SysAid、RMM白名单进程运行无陌生进程创建、无异常权限申请、无违规系统调用规避EDR行为基线检测内存检测对抗混合编译与AOT编译脱离常规.NET检测规则内存代码动态加载、执行后自销毁规避内存扫描与转储分析流量检测对抗C2通信伪装为正常HTTP业务流量自定义请求头规避威胁情报特征匹配域名随机轮换无固定恶意流量指纹。3.4 全套内网渗透功能模块实战能力Cavern框架的插件模块覆盖了APT内网渗透的全场景需求功能完整且适配企业内网环境无多余冗余功能隐蔽性极强。AD域枚举模块精准读取域控服务器信息、域用户列表、主机权限、组策略配置、共享资源无需高权限即可完成内网资产全景摸排为横向移动提供数据支撑数据库访问模块支持MySQL、SQL Server、Oracle等主流数据库可抓取本地保存的数据库凭证、执行自定义查询、导出核心业务数据SOCKS5隧道模块搭建加密内网代理隧道让攻击者可以通过外网C2服务器操控内网终端突破内网边界隔离实现跨网段横向渗透文件窃取模块支持自定义后缀、目录扫描批量窃取文档、密钥、配置文件、源码文件自动打包加密后回传规避明文传输审计远程Shell模块提供交互式命令行执行能力支持后台静默运行、文件上传下载、进程管理完全替代系统原生Shell无命令执行日志残留。4 组织归因与伊朗APT体系关联分析安全行业对APT组织的归因核心依据不是攻击目标而是不可篡改的技术指纹、代码习惯、战术逻辑。本次Cavern Manticore的攻击特征与伊朗MOIS旗下老牌APT组织存在高度技术重叠可明确归属伊朗官方APT作战体系。4.1 同源组织技术指纹重合点MuddyWater泥水组织二者.NET框架开发习惯、C2通信加密逻辑、心跳包格式完全一致均偏好依托运维工具实现载荷投递长期针对中东政企实施定向渗透Lyceum学院组织目标画像高度重合专攻以色列政府与IT企业擅长利用供应链上游服务商作为突破口规避直接攻击目标的严密防护OilRig石油平台组织DLL侧加载投递手法、内存模块执行逻辑、数据加密回传机制完全同源属于伊朗APT体系通用的核心攻击模板。4.2 组织定位与攻击战术迭代Cavern Manticore并非全新未知组织而是伊朗MOIS针对现代政企防御体系迭代的新型作战单元。传统伊朗APT依赖漏洞利用、暴力破解容易被新型EDR精准拦截而该组织放弃高危漏洞滥用转向合法工具、正常编译特性的精细化利用战术更隐蔽、成本更低、成功率更高也是未来中东APT攻击的核心发展方向。5 落地检测工具与完整检测脚本可直接复制使用针对Cavern Manticore的无痕攻击特性常规杀毒、全盘扫描无法实现有效检测。我整理了三套可直接落地的检测方案包含进程内存扫描、DLL侧加载监控、流量特征检测脚本适配Windows终端与内网服务器支持批量检测。5.1 PowerShell内存异常模块扫描脚本该脚本用于扫描SysAid、RMM、.NET进程的异常内存模块识别未落地、动态加载的Cavern恶意插件适配Windows Server 2016及以上、Win10/11终端。# Cavern Manticore 内存异常模块检测脚本# 检测目标SysAid、RMM、所有.NET托管进程异常内存加载项# 运行权限管理员权限# 定义监控进程列表$monitorProcesses (SysAid,RMM,w3wp,dotnet,msbuild)$resultList ()foreach($procNamein$monitorProcesses){$processesGet-Process-Name$procName-ErrorAction SilentlyContinueforeach($procin$processes){try{# 获取进程内存加载模块$modules$proc.Modulesforeach($modin$modules){# 筛选无磁盘路径、动态内存加载的可疑模块if([string]::IsNullOrEmpty($mod.FileName)-or$mod.FileName-notmatchSystem32|Program Files){$obj[PSCustomObject]{检测时间 Get-Date-Formatyyyy-MM-dd HH:mm:ss进程名称 $proc.Name 进程PID $proc.Id 可疑模块名称 $mod.ModuleName 模块路径 $mod.FileName 模块内存基地址 $mod.BaseAddress 风险等级 高危疑似Cavern内存插件}$resultList$obj}}}catch{continue}}}# 输出检测结果并保存日志if($resultList.Count-gt0){Write-Host【检测到可疑内存模块】存在Cavern后门疑似特征-ForegroundColor Red$resultList|Format-Table-AutoSize$logPathC:\Windows\Temp\Cavern_Detect_Log.log$resultList|Out-File-FilePath$logPath-Append-Encoding UTF8}else{Write-Host【检测完成】未发现可疑内存加载模块-ForegroundColor Green}5.2 DLL侧加载异常行为监控脚本监控SysAid、RMM进程的非官方DLL加载行为拦截恶意侧加载攻击可部署于终端安全基线策略中。# SysAid/RMM 异常DLL加载监控脚本# 拦截非官方签名DLL侧加载行为# 开启进程模块加载审计wevtutilslMicrosoft-Windows-Sysmon/Operational/e:true# 筛选SysAid、RMM进程的无签名DLL加载日志Get-WinEvent-LogName Microsoft-Windows-Sysmon/Operational-MaxEvents 1000|Where-Object{$_.Id-eq7-and($_.Message-matchSysAid|rmm)-and$_.Message-notmatch已验证签名|Microsoft Corporation}|Format-TableTimeCreated,Id,Message-AutoSize5.3 C2流量特征检测正则规则Cavern C2通信具备固定自定义HTTP头特征可导入防火墙、WAF、流量审计设备精准拦截恶意通信。# Cavern C2 HTTP Header 特征规则 # 匹配自定义伪装请求头、随机参数特征 Header-Filter: User-Agent ~* Windows NT|.NET Runtime AND Referer !~* baidu|google|microsoft Request-Path: /api/update /sys/heart /net/connect Request-Method: POST Body-Feature: 加密Base64数据包、无明文业务参数6 全维度防御加固方案终端网络供应链针对本次零漏洞、合法工具滥用型攻击传统补丁修复、特征查杀完全失效必须从供应链管控、行为审计、内存防护、流量过滤四个维度搭建防御体系。6.1 终端层加固严格收紧SysAid、RMM运维工具的运行权限禁止这类白名单进程加载未签名第三方DLL通过组策略锁定工具的DLL加载白名单仅允许官方签名依赖库加载。开启系统Sysmon模块加载审计全程记录所有进程的DLL加载、内存模块注入行为针对.NET混合编译、AOT编译程序新增运行白名单禁止未知形态.NET程序执行。定期执行内存扫描脚本排查合法进程内无磁盘路径的可疑内存模块做到可疑载荷早发现、早处置。6.2 供应链层加固所有第三方IT运维服务商必须纳入企业安全审计范围建立供应链准入机制定期核查服务商运维平台的更新包签名、下发策略、操作日志。SysAid平台强制开启数字签名校验所有更新包必须验证官方证书禁止本地篡改更新资源、离线更新操作阻断投毒链路。禁止服务商通过RMM工具向企业终端推送自定义文件、自定义脚本仅允许官方合规运维指令下发。6.3 网络层加固防火墙、边界网关导入Cavern C2流量特征规则拦截异常POST加密流量、非常规.NET进程外网通信行为。监控内网终端主动发起的SOCKS5隧道连接阻断未知出站代理流量防止横向渗透数据外泄。定期巡检外网域名访问日志排查随机高频轮换域名、无备案陌生域名的访问记录。6.4 内网域环境加固开启AD域操作全量审计监控批量域信息枚举、批量主机查询、数据库远程访问行为及时发现内网横向移动痕迹。收紧域用户权限普通终端用户禁止读取域控核心配置、禁止批量查询内网资产最小化攻击横向移动权限。7 攻击复盘与行业安全启示Cavern Manticore的攻击模式标志着APT攻击正式进入“零漏洞、纯合法滥用”的新阶段。未来高级威胁攻击不会再过度依赖高危漏洞而是持续挖掘商用软件、运维工具、系统原生特性的信任漏洞利用安全团队对白名单程序的放松管控实现持久渗透。政企安全防御的核心短板已经从“漏洞修复不及时”转变为“可信程序行为失控、供应链信任过度”。绝大多数企业将运维、办公、监控类软件加入永久白名单放弃行为审计与流量监控给APT组织提供了完美的隐蔽载体。同时.NET平台的多样化编译特性、内存加载机制长期被安全团队忽视成为免杀后门的核心温床。传统基于文件特征、进程黑名单的防御体系已经无法适配内存型、模块化、无痕化的新型威胁。后续安全建设的核心方向必须从“防恶意程序”转向“防合法程序恶意行为”从“单点终端防护”转向“全供应链、全行为链路审计”建立针对白名单软件、内存动态载荷、合法工具滥用的专项防御能力。8 文末互动讨论1. 你的企业是否将SysAid、RMM等运维工具加入了永久白名单从未做过行为审计2. 针对.NET内存模块化无痕迹后门你认为现有EDR产品的最大检测短板是什么欢迎在评论区留言交流。