レバノンと関係の深い脅威グループ「Dark Caracal」が、これまで知られていなかったマルウェアフレームワークをサイバースパイ活動の武器庫に追加し、データ窃取と侵害システムへの持続的なアクセス維持において能力を拡張しています。
Arctic Wolfの研究者らはこの新型マルウェアを発見したのは、ベネズエラで発生した標的型侵入事案を調査していた際のことで、同社はこの新しいフレームワークを「GoCaracal」として追跡しています。
Dark Caracalの新たな手口
同社は今週発表したレポートの中で、約250件のマルウェア検体を分析した結果、この脅威アクターがGoCaracalの2つのバージョンを使い分けていることが判明したと報告しています。1つは初期アクセスと追加ペイロードのダウンロード用に設計された軽量な実装で、もう1つは情報収集と侵害システムへの対話的な制御維持を目的とした、より本格的な構成になっています。拡張版のGoCaracalは、メインのC2インフラが利用できなくなった場合の代替手段として、コマンド&コントロールサーバーを探索するために公開ブロックチェーンベースのEthereumデータベースを利用しています。
Arctic Wolfの研究者らはレポートの中で、「2026年6月の侵入事案に関連するインフラは、悪意のあるSVGファイルおよびそれに続くペイロードを配布するために使われている、スペイン語かつドキュメントをテーマとしたドメイン群からなる、より広範なクラスターの一部を構成しています」と記しています。
Dark Caracalは、レバノンの治安総局(GDGS: General Directorate of General Security)との関連が研究者らによってこれまで指摘されてきた、長期にわたるサイバースパイ活動です。同グループは少なくとも2012年から活動しており、軍・政府関係者、企業、ジャーナリスト、活動家、弁護士、医療従事者、教育機関など幅広い組織・個人を標的とした情報収集活動に関与してきたとされています。
同グループは、フィッシング、悪意のあるWebサイト、トロイの木馬化されたモバイルアプリなど多様な手口を使い、マルウェアを配布して文書、通信内容、認証情報、写真、その他の機微データを窃取してきました。Dark Caracalのマルウェアツールキットには、Androidデバイスからデータを窃取するために独自開発された「Pallas」と、2007年以降複数の脅威アクターが使用してきた商用Windowsリモートアクセス型トロイの木馬(RAT)「Bandook」のカスタム版が含まれています。
Arctic Wolfによると、Dark Caracalは現在進行中のラテンアメリカでのキャンペーンにおいて、これまで確立してきた標的選定・配布手法を維持しているとみられ、スペイン語かつ金融・文書をテーマとした誘い文句を使い、悪意のあるSVGファイルとそれに続くペイロードを配布しています。同社によれば、テレメトリデータはブラジル、エクアドル、ウルグアイ、エルサルバドル、コロンビア、チリでの標的活動の可能性を示していますが、これらすべての活動をDark Caracalに結びつける証拠の強さは一様ではないとしています。
Arctic Wolfが調査した、ベネズエラの通信事業者を対象とした2026年6月の侵入事案では、GoCaracalが更新版のBandookと併用して展開されているのが確認されました。Arctic Wolfはこれを、Dark Caracalの実行者らが少なくとも現時点では、GoCaracalをBandookの完全な代替ではなく、その機能を補完するものとして利用している兆候だと解釈しています。一方で同グループは、初期アクセスや侵害後の活動に使用していた従来の「AsioGate」マルウェアをDark Caracalに置き換えたとみられ、ファイル収集、認証情報の窃取、キーストロークロギング、リモートシェルアクセスなどの情報収集活動に利用しています。
活発な開発が続くGoCaracal
Arctic Wolfによると、GoCaracalは2026年を通じて脅威アクターが積極的に開発を続けているマルウェアです。当初は暗号化通信、ホストのプロファイリング、コード実行といった比較的基本的な機能から始まりましたが、現在では再利用可能なコンポーネント、対話型シェル、アンチウイルスなどのセキュリティ機構を回避する機能を備えた、モジュール式のマルウェアツールへと進化しています。Ethereumベースのフォールバック型C2への対応は、その巧妙さとテイクダウン対策に対する耐性の高まりを示すものです。
Dark Caracalのようなサイバースパイグループの標的となった組織にとって、より大きなリスクとなるのは往々にして、攻撃者が標的環境内に持続的かつ検知されない足がかりを確立・維持することです。その狙いは必ずしも即座にデータを窃取することではなく、将来の攻撃に利用する可能性を見据えて、組織の人員、業務、関係性に関する情報を静かに収集することにあります。Arctic Wolfは、Dark Caracalの活動に関連する悪意のある兆候を組織が捜索・検知する際に利用できる侵害指標(IOC)およびその他の情報を提供しています。
