Dark Caracalとつながりのある攻撃者らが、GoCaracalと呼ばれる新たに発見されたGo言語ベースのマルウェアフレームワークにおいて、堅牢なフォールバック機構としてEthereumのスマートコントラクトを利用していることが判明しました。
Arctic Wolf Labsは、2026年6月にベネズエラの通信事業者を狙った標的型侵入を調査する過程で、このフレームワークを発見しました。
同社は中程度の確信度で、この活動がDark Caracalによるものだと評価しています。Dark Caracalは、レバノンの治安総局(General Directorate of General Security)との関連が過去に指摘されている長期活動型のサイバースパイ集団で、政府機関、企業、ジャーナリスト、活動家、そしてラテンアメリカ各地の組織を標的にしてきたことで知られています。
InstallingSecurity Systems
Arctic Wolfの分析では、進化を続けるGoCaracalエコシステムに関連する249個のサンプルが確認されています。
最も注目すべき特徴は、GoCaracalの拡張版ビルドに組み込まれています。コマンド&コントロール(C2)通信の全経路をEthereum経由にするのではなく、このマルウェアはブロックチェーンを分散型のデッドドロップ(受け渡し場所)リゾルバとして扱います。
主要なC2サーバーへの接続試行が繰り返し失敗すると、インプラントはパブリックなEthereum JSON-RPCサービスに対してeth_getStorageAtクエリを発行し、設定済みのスマートコントラクトに格納された代替アドレスを取得します。
返された値が有効であれば、GoCaracalはその新しいアドレスをメモリに書き込み、従来通りのオフチェーンC2通信を再開します。
この手法により、攻撃者はマルウェアを作り直して再配布することなく、ブロックチェーン上のトランザクション一つで、摘発済みのインフラを切り替えられるようになります。
同じコントラクトの状態は複数のパブリックRPCプロバイダーを通じて照会できるため、防御側が一つのWebドメインやサーバーを停止させるだけでは、このフォールバック機能を簡単には無効化できません。
Arctic Wolfは、BulletproofC2という名前のカスタムSolidityコントラクトを特定しました。これは、デプロイしたウォレットのみが更新できる可変のC2値を保持するよう設計されています。
トランザクションの活動を見ると、攻撃者が格納された値をパブリックIPアドレスに変更していたことが判明しており、これはこの機能が単なる未使用コードではなく、実際にテストされ運用に投入されたものであることを示しています。
研究者らはまた、比較可能なメインネット上の活動に先立ち、Ethereumのテストネットワーク「Sepolia」上で関連するデプロイを発見しました。この中には、開発・検証作業と整合するプライベートなRFC 1918アドレスを含むエントリも含まれていました。
GBhackersと共有されたレポートの中でArctic Wolfが述べたところによると、GoCaracalフレームワークは、侵害されたエンドポイントが新たなマルウェアを展開しなくても代替のコマンド&コントロールインフラを復旧できるようにするものです。
GoCaracalマルウェア
今回のベネズエラでの侵入事案では、Dark Caracalがこれまでも使ってきた、おなじみの侵入経路の多くが踏襲されていました。Arctic Wolfは、被害者がスペイン語で書かれた金融・税務関連をテーマとしたフィッシングを餌にされ、その中に武器化されたSVGファイルが仕込まれていたとみています。
SVGファイルを開くと、受信者は短縮URLと中継用のリダイレクターを経由してgetpdfdigital[.]cloudへ転送され、そこで7-Zipアーカイブを通じて軽量版のGoCaracalインプラントが配信される仕組みでした。
この一連の攻撃手口は、Kasperskyが2026年2月に報告したDark Caracalの活動と酷似しています。当時の攻撃でも、金融をテーマにしたフィッシング、悪意あるSVG添付ファイル、URL短縮サービス、Delphi製ローダー、そしてC++ベースのバックドア「AsioGate」が、ベネズエラ、チリ、ブラジルの標的に対して使用されていました。
それらの攻撃では、SVGファイルに埋め込まれたJavaScriptとBase64エンコードされたコンテンツを使って文書作成ワークフローになりすまし、悪意あるアーカイブのダウンロードを引き起こしていました。
ただし、Arctic Wolfは、GoCaracalがAsioGateの後継であることを裏付けるような、コードレベルでの直接的なつながりは発見していません。むしろ、この二つのツールは、おなじみの侵入経路とインフラのエコシステムの中で、重複するアクセス役割を担っているように見えます。
GoCaracalは、軽量版と拡張版の二つの動作プロファイルに分かれています。
軽量版インプラントは、侵入初期段階のバックドアとして機能します。被害者の環境情報を収集し、AES-GCMで保護されたC2通信を行い、対話型シェルを提供し、ペイロードのダウンロードと実行を行い、シェルコードのロードやインジェクションも可能です。
拡張版プロファイルは、より長期的な監視とハンズオンキーボード操作を意図して設計されています。
ホストおよびファイルの探索、ブラウザのCookieや認証情報データベースの窃取、キーロギング、標的を絞ったファイル検索、WebRTCによるリモートデスクトップアクセス、隠蔽されたChromeセッション、帯域内SOCKS5プロキシ、そして永続化に関わるレジストリ操作をサポートしています。
v1.0.1からv1.0.6までの内部バージョン表記や、2026年1月から7月にかけて確認された249個のサンプルという時系列を踏まえると、これは一回限りのインプラントではなく、活発かつモジュール式の開発が続けられていることがうかがえます。
Dark Caracalは、軽量版GoCaracalの段階の後に、更新版のBandookペイロードも展開しており、このグループが既存のマルウェア群を置き換えるのではなく、拡充させている姿勢がうかがえます。
今回確認されたBandookのサンプルは、ランダム化されたコマンド識別子と難読化されたプラグインのエクスポート名を使用しており、ブラウザの認証情報を窃取する機能を維持しつつ、シグネチャベースの解析を困難にしていました。
防御側にとって、今回のキャンペーンは、SVG添付ファイル、短縮リンクの連鎖、不審なアーカイブのダウンロード、そしてエンドポイントから発信される想定外のEthereum JSON-RPCリクエストを精査する必要性を改めて示すものとなりました。
Arctic Wolfは、脅威ハンティング向けに、軽量版GoCaracal用のYARAルールとともに、代表的なハッシュ値、ドメイン、C2アドレス、Ethereumコントラクトの指標、および関連するホストパスを公開しています。
IOC(侵害指標)
| SHA-256 | 名称 | 種別 |
| 1E499C815146124C4A6D2B48C99068B980AD74E1A2CFD16013F8D75A9425A0CA | TF-OFICINA004A9.exe | GoCaracal 軽量版 |
| 77F7AD29F4A8037EE5F38D3D87FB91CFD97CB8F7FA7883EDF3FCE506DF5200C0 | TF-OFICINA004A9.exe | GoCaracal 軽量版 |
| 8C03D072DF2E1BF14B0C00A8AB99834138C8B69F301849BF09CB44394E916015 | VRJDL_21812.exe | GoCaracal 拡張版 |
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無効化表記(defang、例: [.])にしています。再度有効な表記に戻す場合は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
★ 削減すべきセキュリティツールをどう見極めるか? 1枚のシートでスコアリング – 「引き継いだセキュリティスタック」ガイドをダウンロード
InstallingSecurity Systems
翻訳元: https://gbhackers.com/gocaracal-malware-attack/
