ブロックチェーンから新しいアドレスを直接取得できるとなると、マルウェアの司令サーバーを遮断するだけでは不十分な場合があります。Arctic Wolfの専門家は、Dark Caracalグループに属する未知のモジュール型マルウェア「GoCaracal」を発見しました。このマルウェアは、Ethereumのスマートコントラクトを通じて運用者との接続を再確立できるという特徴を持っています。
ベネズエラでの侵入事案で発見
GoCaracalは、2026年6月にベネズエラの通信事業者を狙った標的型攻撃の調査中に発見されました。Arctic Wolfは中程度の確度で、この攻撃をDark Caracalによるものと関連付けています。Dark Caracalは以前、レバノンの総合治安局(General Directorate of General Security)との関連が指摘されていたグループです。同グループは長年にわたり、政府機関や企業、ジャーナリスト、活動家を標的にしてきました。
見覚えのある感染経路
今回の感染経路も、Dark Caracalでおなじみの手口を踏襲していました。被害者には、金融・税務をテーマにしたスペイン語の偽装メッセージが送られ、悪意あるSVGファイルが添付されていました。ファイル内には短縮リンクが符号化された形で仕込まれており、複数回のリダイレクトを経て攻撃者が管理するサイトに誘導される仕組みです。このサイトから、軽量版のGoCaracalを含むアーカイブファイルが配布されていました。
2種類のGoCaracalビルド
249個のサンプルを分析した結果、開発者はGoCaracalを2種類のバリアントとして維持していることが判明しました。軽量版はコンピューターに関する情報を収集し、司令サーバーとの暗号化接続を確立したうえで、コマンドの実行やファイルのダウンロード、他プロセスへのコード注入を行います。このバリアントは主に、システムへの足がかりを確保し追加のコンポーネントを配信するために使われます。
拡張版は持続的なスパイ活動を目的として設計されており、34種類のコマンドハンドラーを備えています。GoCaracalはファイルの検索・ダウンロード、ブラウザデータの収集、キーストロークの記録、隠しブラウザセッションの起動、WebRTC経由のリモートデスクトップアクセスの提供、さらには感染したコンピューターをSOCKS5プロキシに変える機能まで持っています。開発は少なくとも2026年1月から7月まで続いており、機能セットは単純なインプラントから本格的なリモート制御ツールへと着実に拡張されていきました。
異例のブロックチェーン活用メカニズム
この夏、拡張版のビルドに異例のメカニズムが登場しました。主要な司令サーバーへの接続に何度か失敗すると、GoCaracalは公開されているEthereumノードにアクセスし、あらかじめ定められたスマートコントラクトから値を読み取ることができます。発見された「BulletproofC2」というコントラクトには予備サーバーのアドレスが格納されており、運用者は新たなトランザクションを発行することでこの値を変更できます。
コマンドの通信そのものがEthereum上を通るわけではありません。ブロックチェーンは、現在のインフラのアドレスを保持する耐障害性の高いディレクトリとして機能しています。サーバーが変更されても、すでに感染しているコンピューターに新しいバージョンのGoCaracalを配信する必要はなく、単一のドメインやIPアドレスを遮断しただけでは運用者から接続再開の手段を奪うことはできません。Arctic Wolfは同様のコントラクトを複数発見しており、まずSepoliaテストネットワークで試験運用された後、Ethereumのメインネットに展開されていたことも確認しています。
並行して稼働するBandook
同じ攻撃活動の中で、Dark Caracalは以前から知られているリモートアクセス型トロイの木馬「Bandook」も引き続き使用していました。今回の新バージョンでは、従来の連番方式に代わってランダム化されたコマンドIDが採用され、コンポーネント名も難読化されており、旧来のシグネチャによる検出を困難にしています。このマルウェアは、Chrome、Brave、Firefoxから認証情報を窃取する機能も備えています。
ラテンアメリカ全域で近代化するツールキット
Arctic WolfはまだGoCaracalをBandookの後継とはみなしていません。両プログラムは並行して運用されていましたが、新しいフレームワークの機能は旧来のトロイの木馬の機能と大部分が重複しています。専門家らは、ブラジル、エクアドル、チリ、コロンビア、エルサルバドル、ウルグアイでも、この攻撃活動に関連する痕跡やインフラを発見しており、Dark Caracalの活動範囲はラテンアメリカの広範な地域に及んでいる可能性があります。
翻訳元: https://meterpreter.org/gocaracal-malware/
