La compilazione .NET diventa la barriera all’analisi
Qui il punto non è il C2 in sé. È che il formato di compilazione diventa la difesa anti-analisi: prima ancora di capire cosa faccia il framework, bisogna ricostruire pezzi scritti in .NET diversi, con metadata incompleti e strumenti diversi. Per un team di triage, il risultato è una visione forense più povera e una firma meno durevole.
Check Point attribuisce a Cavern Manticore un framework modulare contro organizzazioni israeliane del settore IT, governo e difesa, osservato dall’inizio del 2026. I componenti usano .NET Framework, .NET Mixed-Mode C++/CLI e .NET 8 Native AOT; la catena vista in rete passa da SysAid e da un DLL sideloading legittimato da WinDirStat.exe per caricare l’agente e poi moduli separati per ricognizione, accesso ai dati, tunneling e movimento laterale.
Il quadro conta anche oltre questo caso: quando il delivery passa da software di gestione interno o da feature di update, la fiducia già presente nella rete viene riusata per distribuire malware in modo mirato. In ambienti con RMM e flussi di aggiornamento gestiti, la superficie reale non è un singolo backdoor, ma una piattaforma modulare che cambia profilo per vittima.