レバノン系Dark Caracalが新Go製フレームワーク「GoCaracal」を投入 — Arctic Wolfがベネズエラ侵入で確認、イーサリアムでC2を復元

Arctic Wolf Labsは2026年8月26日、レバノンの総合保安総局（GDGS）との関連が指摘されるサイバー諜報グループDark Caracalが、新たなGo言語製モジュール型フレームワーク「GoCaracal」を使用したと公表した。同社は2026年6月にベネズエラの通信組織への侵入を調査する中でGoCaracalを発見し、249の関連検体を分析して開発の変遷とインフラの耐障害機構を明らかにした。

何が起きたか

Arctic Wolf Labsが2026年6月に調査したのは、ベネズエラの通信組織を標的とした侵入事案だ。同社はこの活動を中程度の確度（medium confidence）でDark Caracalによるものと評価している。

侵入では、Kasperskyが2026年2月に報告したDark CaracalのSVG悪用型キャンペーンと同様の配信手口が使われた。スペイン語の金融・税務テーマの誘惑、悪意あるSVG添付ファイル、URL短縮サービス、文書テーマのホスティング基盤、Delphi製ローダーが確認された。

Arctic Wolf Labsは、初期アクセス後に展開されたマルウェアが従来のAsioGateではなく、未報告のGo製フレームワークGoCaracalだったことを突き止めた。さらに、同社はGoCaracalと併せてBandookの更新版が同時に展開されていることも確認した。

GoCaracalは何か

GoCaracalは、共通アーキテクチャから派生した2つのビルド形態を持つモジュール型フレームワークだ。

• 軽量版: 初期アクセスを確立し、追加ペイロードを配信する役割を担う。
• 多機能版（extended）: 持続的な情報収集と対話的な遠隔制御を目的とし、ファイルのアップロード・ダウンロード、シェルコマンド実行、偵察などの機能を備える。

Arctic Wolf Labsが分析した249検体は、2026年1月から7月にかけて、初期アクセス機能だけを持つ段階から、成熟した侵入後フレームワークへと機能が段階的に追加された過程を示している。両ビルドは同じ侵入内で同時に観測されており、開発が継続的に行われていることがわかる。

イーサリアムを悪用したC2の復元力

GoCaracalの多機能版が持つ最大の特徴は、イーサリアムのスマートコントラクトを代替C2取得のフォールバックとして利用する点だ。

通常のC2が遮断された場合、マルウェアはイーサリアム上のスマートコントラクトに問い合わせて代替のC2アドレスを取得できる。Arctic Wolf Labsは、ブロックチェーン上の活動を追跡し、この機能が単なる休眠コードではなく、テストと運用が実際に行われたことを確認したと説明している。

この仕組みにより、攻撃者はマルウェアを再展開することなくインフラを切り替えられる。防御側がドメインやIPを遮断しても、ブロックチェーン経由で新たなC2へ誘導されるため、排除が困難になる。

Bandookとの併用と配信の継続性

Dark CaracalはGoCaracalを既存のBandookと併用していた。Arctic Wolf Labsは、GoCaracalがBandookを置き換えたという証拠は確認していないと述べている。両者は役割を補完する形で使われており、同グループが従来のツールを維持しつつ新フレームワークで能力を拡張しているとみられる。

配信面では、100件以上の関連SVGファイルが同一の悪性ホスティングと通信していたことが確認された。ファイル名は金融・税務テーマで、ベネズエラを中心にチリやブラジルでも関連コンポーネントが観測されるなど、ラテンアメリカでの活動が続いている。

Dark Caracalは少なくとも2012年から活動し、政府、企業、ジャーナリスト、活動家を標的としてきたとされる。Arctic Wolf Labsは、今回の発見は同グループが確立された手口を維持しながら、マルウェアとインフラを近代化していることを示すと評価している。

対策と検知のポイント

Arctic Wolf Labsが公表した内容に基づく対策は次のとおりだ。

• 配信の検知: 金融・税務テーマのSVG添付ファイル、URL短縮経由のリダイレクト、文書テーマのホスティング基盤への通信を監視する。同社はSVGファイルとDelphiローダーの組み合わせをDark Caracalの特徴的な配信パターンとして挙げている。
• 実行時の検知: Go製バイナリによる不審なプロセス生成、PowerShellやシェルコマンドの実行、イーサリアム関連のネットワーク通信（スマートコントラクトへの問い合わせ）を注視する。
• インフラの遮断: 論文中で示されたIoC（ファイルハッシュ、ホスティングドメイン、C2）をブロックリストに反映する。Arctic Wolf Labsは詳細なIoCをブログ内で公開している。

同社は、GoCaracalが軽量版と多機能版で挙動が異なるため、初期アクセス段階と侵入後段階の両方で検知ルールを整備することが重要だと指摘している。

出典

• Arctic Wolf Labs, “Dark Caracal Reloaded: New Malware, Same Hunting Grounds” (2026年8月26日) https://arcticwolf.com/resources/blog/dark-caracal-reloaded-new-malware-same-hunting-grounds/