レバノン政府系のサイバー諜報グループ「Dark Caracal」は、ラテンアメリカ（ベネズエラ等）の通信組織等を標的とした攻撃において、Go言語で開発された新しいモジュール式マルウェアフレームワーク「GoCaracal」を投入しています。
従来の攻撃手法（SVG添付ファイルを用いたフィッシング）を継続しつつも、マルウェアのモジュール化やEthereumブロックチェーンを用いた分散型C2インフラの導入など、永続性と耐検知性を大幅に強化していることが確認されました。
特徴的な部分をみてみましょう。
- 新マルウェア「GoCaracal」の二重プロファイル構造（Lightweight & Extended）
- 解説
GoCaracalは役割の異なる2つのビルドプロファイル（「軽量版」と「拡張版」）で運用されています。
2026年1月から7月にかけて249個の関連サンプルが追跡分析されており、段階的な機能拡張が行われてきたことが分かっています。 - 機能
最初に感染する「軽量版（Lightweight）」は端末の情報収集、初期アクセスの確立、および後続のDelphiローダーの展開に特化しています。
その後送り込まれる「拡張版（Extended）」は、ファイル操作、ブラウザの資格情報・Cookieの窃取、キーログ、WebRTCによるリモートデスクトップ制御、SOCKS5プロキシ機能などを備え、高度な潜伏とデータ持ち出しを行います。
- 解説
- Ethereumスマートコントラクトを利用したC2フォールバック（自動復旧）メカニズム
- 解説
GoCaracalの「拡張版」には、従来のC2（コマンド＆コントロール）サーバへの接続が繰り返し失敗した際、分散型ブロックチェーンを介して新たなC2アドレスを取得する仕組みが組み込まれています。 - 機能
マルウェアは公衆Ethereum JSON-RPCエンドポイントを呼び出し、指定されたスマートコントラクト内に書き込まれた暗号化/更新データを読み取ってメモリ上のC2アドレスを動的に差し替えます。
これにより、セキュリティ機関によるドメイン/IPのテイクダウンやブロックを回避し、接続を維持します。
- 解説
- 既存の攻撃インフラと「Bandook」バックドアの併用
- 解説
新型のGoCaracalが導入された一方で、従来から同グループが使用しているDelphiローダーや、そこから展開される「Bandook」バックドアも同時に検出されています。 - 機能
これはGoCaracalが既存ツールの完全な置き換えではなく、従来のバックドアと並行・補完運用されており、攻撃ツール群の近代化（モダナイゼーション）を進めている段階であることを示しています。
- 解説
- ソーシャルエンジニアリングとSVGファイルを組み合わせた多段階の配送プロセス
- 解説
攻撃の初期侵入には、税金や財務を装ったスペイン語のフィッシングメールが利用されています。 - 機能
メールに添付された悪意のあるSVGファイルが開かれると、埋め込まれたリダイレクトURL（短縮URLサービスを経由）を通じて攻撃者のホスティングサイト（getpdfdigital[.]cloud等）へ誘引され、7-Zipアーカイブ形式で初期ペイロードがダウンロード・実行されます。
- 解説
今回のレポートは、Dark Caracalが伝統的な標的型攻撃（フィッシングメールや既存のBandook）を踏襲しつつも、開発言語のGo言語化やブロックチェーン（Ethereumスマートコントラクト）を用いたC2インフラの防衛など、手法を急速に高度化させていることを示しています。
特にブロックチェーンを利用したC2のフォールバック機能は単なる概念実証（PoC）ではなく実運用されている点が重要であり、従来の単一IP/ドメインブロックだけでは脅威の封じ込めが難しくなっています。
組織には、SVG等の特殊な添付ファイルの警戒、エンドポイントにおけるGo言語製不審プロセスの監視、およびスマートコントラクト関連通信の異常検知といった多層的な防御策が求められます。
Dark Caracal Reloaded: New Malware, Same Hunting Grounds
https://arcticwolf.com/resources/blog/dark-caracal-reloaded-new-malware-same-hunting-grounds/
| この記事をシェア |
|
|---|
