新マルウェア「GoCaracal」はなぜC2を自動復旧できるのですか？

A. Ethereumから新しい接続先を取得できるためです。

GoCaracalの拡張版は、通常のC2サーバへの接続が繰り返し失敗すると、Ethereumブロックチェーンを利用します。指定されたスマートコントラクトに書き込まれたデータを読み取り、新しいC2アドレスへ動的に切り替える仕組みです。

これにより、使用していたドメインやIPが遮断されても、別の接続先を取得して通信を維持できます。

この仕組みは概念実証ではなく、実際の攻撃で運用されていることが確認されています。

GoCaracalは軽量版と拡張版に分かれ、拡張版では情報窃取や遠隔操作などの機能も備えています。

また、従来から使われてきた「Bandook」バックドアなども併用されており、既存の攻撃手法を残しながら新しい仕組みが取り入れられています。

GoCaracal：Ethereumブロックチェーンを組み込んだC2自動復旧の手法 https://constella-sec.jp/blog/hobokomo-securitynews/tips-1271/