サイバー諜報グループDark Caracalが再び活動を見せており、セキュリティチームが同グループのコマンド＆コントロール基盤を妨害した後でも、侵害済みシステムへのアクセスを維持しやすくする新しいマルウェアフレームワークを投入しました。

研究者らは、この活動を2026年6月のベネズエラの通信組織への侵入に関連づけました。攻撃者は、同グループがこれまで使っていたBandookバックドアに加え、GoCaracalとして知られる、それまであまり知られていなかったGoベースのマルウェアフレームワークを展開していました。キャンペーンでは、金融や税務に関するテーマを含むスペイン語のフィッシングメッセージが使われ、被害者に悪意ある添付ファイルを開かせていました。

Arctic Wolfのセキュリティ研究者は、侵害の調査中にGoCaracalを特定し、この活動をDark Caracalに帰属させました。249件のサンプルを調べた結果、マルウェアには2つのバージョンがあることが判明し、1つは初期侵入の確立に特化し、もう1つはより広範な監視とリモート制御機能を提供していました。

最も注目すべき点は、GoCaracalがEthereumスマートコントラクトから代替のコマンド＆コントロールサーバーアドレスを取得できることです。これにより、主要サーバーが停止しても感染システムは再接続できます。

この手法は、マルウェア運用におけるブロックチェーン基盤の役割を変えます。攻撃者はEthereumを使って感染端末へ直接コマンドを送るのではなく、ブロックチェーンを設定データの永続的な保存先として利用します。感染したマシンはEthereumサービスに問い合わせ、スマートコントラクトに保存された更新済みサーバーアドレスを取得し、別の接続を試みることができます。

Ethereumスマートコントラクトがコマンド基盤のバックアップを提供

研究者らは調査中に、BulletproofC2というSolidityスマートコントラクトを特定しました。このコントラクトに関連する活動では、保存値が公開アクセス可能なアドレスを含むように変更されていたことが示されています。

この基盤はEthereumのSepoliaテストネット上に現れ、その後Ethereum mainnetでも活動が確認されました。研究者らはまた、テスト活動の一部でプライベートアドレスも確認しています。この推移は、ブロックチェーンのフォールバック機構が、実験段階から運用上の耐障害性機能へと発展した可能性を示しています。

この手法は、コマンドサーバーを変更した後に新しいマルウェアサンプルを配布する必要が必ずしもないため、基盤のテイクダウンの効果を弱める可能性があります。代わりに、攻撃者はトランザクションを通じてブロックチェーンに保存された値を更新し、感染システムが新しい接続先を見つけられるようにできます。

複数のEthereumアクセスサービスも、保存された情報へのアクセスを提供できます。その結果、単一のサーバーやドメインを停止しただけでは、すべての侵害システムとの通信を断ち切るには不十分な場合があります。

このブロックチェーンベースのフォールバックにより、Dark Caracalはマルウェア配布、コマンド基盤、復旧機構を分離でき、守備側にとって妨害をより困難にしています。

SVGフィッシングは依然としてキャンペーンの中核

新しい基盤技術が導入された一方で、初期感染の流れは従来型のフィッシング手法に依存し続けていました。攻撃者は、隠された短縮リンクを含むSVG画像ファイルを配布しました。ファイルを開くと、被害者はリダイレクトを経由して、悪意あるペイロードをホストするサイトへ誘導されました。

SVGファイルにはアクティブなWebコンテンツを含められるため、攻撃者は一見すると通常の画像添付に見えるものの中に悪意あるリンクを隠すことができます。その後、このキャンペーンは、小規模なインプラントを含むアーカイブを配布し、初期侵入の確立と追加ツールの取得を可能にしました。

軽量版のGoCaracalは、侵害されたシステムのプロファイリング、攻撃者との通信、追加コンポーネントのダウンロードを目的としていました。より高機能な版には、ファイル検索、ブラウザ情報とキーストロークの収集、プロキシ接続の作成、隠蔽されたリモートデスクトップアクセスの有効化といった機能が追加されていました。また、システム再起動後の永続化を維持するための仕組みも含まれていました。

Bandookは同じ侵入で展開されており、Dark Caracalが既存のマルウェアを放棄していないことを示しています。むしろ、新しいGoベースのフレームワークは、同グループの既存ツール群を補完しつつ、追加の柔軟性を提供しているようです。

ラテンアメリカ全体での活動も調査中

Arctic Wolfは、ブラジル、エクアドル、チリ、コロンビア、エルサルバドル、ウルグアイに関連する痕跡も特定しました。ただし、研究者らはより広い地域的範囲については調査継続中であると述べており、確認済みのベネズエラ事案がこのキャンペーン活動の最も明確な証拠となっています。

このキャンペーンは、フィッシング添付ファイル、エンドポイント活動、ネットワーク接続をまとめて監視する必要性を示しています。特に、コマンドサーバー接続の失敗の後に予期しないEthereum RPCリクエストが続く場合は注意が必要です。

セキュリティチームは、送信元不明のSVG添付を無害な画像ではなく、アクティブなコンテンツの可能性があるものとして扱うことで、リスクを低減できます。組織はまた、不審なアーカイブ、疑わしいリダイレクト、予期しないリモートアクセスの挙動を監視し、エンドポイントとネットワークのテレメトリで繰り返し接続試行の兆候を確認すべきです。

この手口は、従来型のコマンドサーバーを妨害するだけでは侵入を終わらせるには不十分かもしれないことを示しています。マルウェア基盤にブロックチェーンベースの復旧機構を組み込むことで、攻撃者は侵害システムが再接続するための別経路を作り出せます。そのため守備側には、攻撃チェーンの各段階を特定し、妨害することが求められます。