イーサリアムのスマートコントラクトをC2予備経路に悪用する新マルウェア「GoCaracal」が判明

要点

• セキュリティ企業Arctic Wolfが、Go言語で開発された未文書化の新マルウェア「GoCaracal」を報告した。

• 脅威グループ「Dark Caracal」の関与が中程度の確信度で指摘され、ベネズエラの通信組織への侵入で確認された。

• 拡張版プロファイルは主C2サーバーとの通信途絶時に、イーサリアムのスマートコントラクトから予備のC2アドレスを取得する。

• 侵入経路は財務関連を装ったフィッシングとみられ、過去の攻撃で使われたマルウェア「Bandook」も併用されていた。

• サイバーセキュリティ企業のArctic Wolfは2026年8月27日、ベネズエラの通信関連組織への侵入事案において、これまで確認されていなかったGo言語製のマルウェアフレームワーク「GoCaracal（ゴーカラカル）」が展開されていたことを明らかにしました。同社はこの攻撃活動について、中南米を中心に活動する脅威グループ「Dark Caracal」に関連している可能性が高いと評価しています。GoCaracalは多彩な遠隔操作機能を備えるだけでなく、指令（C2）サーバーとの通信が途絶した際に、イーサリアムのスマートコントラクトを参照して予備の接続先アドレスを取得するという特異な仕組みを実装していることが判明しました。

軽量版と拡張版の2つのプロファイル

Arctic Wolfの技術分析によると、GoCaracalには機能範囲の異なる「軽量プロファイル」と「拡張プロファイル」の2種類が存在します。

軽量プロファイルは、感染ホストのプロファイリング、暗号化されたC2通信、対話型シェルへのアクセス、外部ペイロードの取得と実行、シェルコードの注入といった基本機能に絞って実装されています。今回の侵入ではこの軽量版と並行して、既知のトロイの木馬「Bandook」も展開されていました。ただしArctic Wolfは、現時点で得られている証拠からはGoCaracalがBandookを完全に置き換える後継マルウェアであるとは断定できないとしています。

一方の拡張プロファイルは、より広範な情報窃取や遠隔操作に対応したモジュールを備えています。システム環境やファイルの探索、コマンド実行、ブラウザのCookieやログイン情報の窃取、キーボード入力を記録するキーロガー、特定ファイルの検索に加え、ブラウザ間通信規格WebRTCを利用したリモートデスクトップ制御、非表示でのブラウザ操作、SOCKS5プロキシ、システムの再起動後も常駐を維持する永続化機能などを搭載しています。

スマートコントラクトを利用したC2フォールバック機構

拡張プロファイル最大の特徴は、C2通信の耐障害性を高めるフォールバック（予備経路への切り替え）機構です。

通常、拡張プロファイルは設定された主要C2サーバーとの通信を試みます。しかし接続失敗が続くと、パブリックなイーサリアムのJSON-RPCエンドポイントへ「eth_getStorageAt」リクエストを送信します。これにより、事前に指定されたスマートコントラクト（ブロックチェーン上でプログラムを自動実行する仕組み）のストレージ領域から、予備のC2アドレスデータを直接読み取ります。

アドレス取得後、GoCaracalはメモリ上の設定を書き換え、取得した代替アドレス宛てに通常のブロックチェーン外（オフチェーン）の通信でC2接続を再試行します。公開RPCエンドポイントは複数存在するため単一障害点を回避できるほか、攻撃者はマルウェア本体のバイナリを再配布することなく、スマートコントラクト上の記録を更新するだけで代替C2サーバーのアドレスを変更できます。

なお、Arctic Wolfは「この仕組みはC2通信全体をイーサリアム上に置くものではない」と説明しており、スマートコントラクトは予備アドレスの参照先として限定的に使われています。また、今回の侵入調査では、実際にフォールバックを実行して代替アドレス経由で再接続に成功した端末までは確認されていません。

フィッシングによる初期侵入と「Dark Caracal」との関連性

初期侵入の手口についてArctic Wolfは、フィッシング攻撃が悪用された可能性が高いと分析しています。被害組織から電子メール本体やSVG添付ファイルは直接回収されていないものの、検知されたファイルの命名規則が財務や税務に関する内容であったことや、同一の悪意あるホスティングサイトと通信する100個以上の不正SVGファイルの存在などから総合的に判断されました。

同社は一連の活動をDark Caracalによるものと「中程度の確信度」で評価しています。その根拠として、Bandookの併用、Delphi言語製ローダーの特徴的な挙動、スペイン語で書かれた金銭関連のおとり、悪意あるSVGや短縮URLの利用、特定のホスティング事業者の選定、中南米を標的とする傾向などが挙げられます。Dark Caracalは中南米での活動歴が長く、2018年の初報告以降、2020年や2021年にもベネズエラなどでBandookを用いた攻撃が確認されています。

地域的な広がりと公開された侵害指標

関連インフラの調査では、ベネズエラ以外にもブラジル、エクアドル、チリ、コロンビア、エルサルバドル、ウルグアイで関連痕跡が確認されています。ただし同社はこれらを中南米地域における広範な活動と評価するにとどめ、確定した被害国とは断定していません。また、GoCaracalによる被害組織の確定総数も公表されていません。

Arctic Wolfは防御者向けに、軽量版検知用のYARAルール、代表的なハッシュ値、関連ドメインやIPアドレス、イーサリアムのコントラクトおよびウォレット情報、ファイルパスなどのセキュリティ侵害指標（IoC: Indicators of Compromise）を公開しています。