Arctic Wolf Labsは、Go言語で書かれた新型マルウェアフレームワーク「GoCaracal」を発見しました。ベネズエラの通信事業者に対する標的型侵入活動で使用が確認されています。
この活動は、レバノン総合治安局(General Directorate of General Security)と関連があるとされるサイバースパイ集団Dark Caracalによるものである可能性が中程度の確度で指摘されています。
今回のキャンペーンから、Dark Caracalがラテンアメリカ全域で展開してきた長期活動を刷新しつつも、おなじみのフィッシングやマルウェア配布の手口を維持していることがうかがえます。
研究者らはGoCaracal関連のサンプルを249件確認しており、このフレームワークが2026年1月から7月にかけて急速に進化していたことも判明しました。
同グループはこれまで、金融関連をテーマにしたフィッシングメール、悪意のあるSVG添付ファイル、URL短縮サービス、そしてDelphi製ローダーを使い、スペイン語圏の被害者を標的にしてきました。
今回確認された活動もこの手法を踏襲していますが、新たにGoCaracalと、リモートアクセス型トロイの木馬「Bandook」の更新版を組み合わせて投入している点が特徴です。
Arctic Wolfによると、このマルウェアはBase64エンコードされた短縮URLを埋め込んだ、悪意あるSVGファイルを通じて配布された可能性が高いとしています。
添付ファイルを開いた被害者は、攻撃者が管理するウェブサイトへリダイレクトされます。その1つであるgetpdfdigital[.]cloudからは、軽量版のGoCaracal実行ファイルを含む7-Zipアーカイブが配布されました。
GoCaracalには主に2種類のビルド構成があります。初期アクセスとペイロード配布用の軽量版と、長期的な制御と情報収集を目的とした拡張版です。
軽量版のインプラントは、感染したシステムからユーザー名、ホスト名、OS、稼働時間、アクティブウィンドウ、インストール済みのセキュリティツールといった基本情報を収集します。
通信には、独自のAES-GCM暗号化プロトコルを用いてコマンド&コントロール(C2)サーバーと連携します。
起動後は、ファイルのダウンロードと実行、URLからのコンテンツ取得、対話型コマンドシェルの実行、シェルコードの読み込み、他プロセスへのコードインジェクションが可能です。
Arctic Wolfの調査では、この軽量版はベネズエラでの侵入活動において、初期アクセスのためのツールとして機能していたことが確認されています。
軽量版インプラントによってアクセスが確立された後、攻撃者はBandookとより高機能なGoCaracal亜種を運ぶDelphi製ローダーを展開しました。
この事実は、Dark CaracalがGoCaracalを単独のペイロードとしてではなく、階層化されたツールキットの一部として使用していることを示唆しています。
拡張版には34種類のコマンドハンドラーが搭載されており、ファイル管理、システム探索、プロセス列挙、キーロギング、ブラウザの認証情報窃取、ファイル検索、リモートデスクトップアクセス、非表示ブラウザセッション、SOCKS5プロキシ、そして永続化のためのレジストリ改変に対応しています。
研究者らはまた、v1.0.1からv1.0.6までの内部バージョン文字列も確認しており、このフレームワークが現在も活発に開発が続けられていることを示しています。GoCaracalの特に注目すべき機能の1つが、イーサリアムを利用したフォールバック機構です。
主要なC2サーバーへの接続に失敗した場合、このマルウェアは公開されているイーサリアムのJSON-RPCエンドポイントに問い合わせ、スマートコントラクトから代替のC2アドレスを取得できると、arcticwolfは述べています。
注: IPアドレスおよびドメインは、意図的にディフェング処理(defang、例: [.])を施しています。誤った名前解決やハイパーリンク化を防ぐための措置です。再ファング(re-fang)する際は、MISP、VirusTotal、SIEMなど管理されたスレットインテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/dark-caracal-debuts-gocaracal/
