GoCaracal usa Ethereum come C2 di riserva: Dark Caracal rinnova il cyberspionaggio

🛡️ Executive Summary

• Arctic Wolf scopre GoCaracal, framework Go modulare usato in un’intrusione contro un’organizzazione venezuelana e attribuito con media confidenza a Dark Caracal.
• La variante estesa interroga uno smart contract Ethereum dopo ripetuti errori del C2 primario, recuperando un nuovo indirizzo senza aggiornare il malware.
• GoCaracal affianca Bandook con shell remota, furto browser, keylogging, SOCKS5, WebRTC e persistenza; la difesa deve monitorare RPC Ethereum e comportamento endpoint.

Dark Caracal aggiorna il proprio arsenale con GoCaracal, un framework malware modulare scritto in Go che utilizza Ethereum come meccanismo di resilienza per il comando e controllo. Arctic Wolf Labs lo ha individuato durante l’indagine su un’intrusione del giugno 2026 contro un’organizzazione del settore comunicazioni in Venezuela e collega l’operazione con media confidenza al gruppo di cyberspionaggio associato in precedenti ricerche alla General Directorate of General Security libanese. L’elemento più interessante non è soltanto la nuova backdoor: una variante avanzata utilizza uno smart contract Ethereum come dead-drop resolver, permettendo agli operatori di cambiare il C2 senza distribuire una nuova configurazione agli endpoint già compromessi.

Dark Caracal mantiene il phishing ma cambia il malware dopo l’accesso

La ricerca tecnica pubblicata da Arctic Wolf Labs ricostruisce una campagna che conserva diversi elementi già osservati nelle operazioni Dark Caracal contro l’America Latina. Il vettore iniziale utilizza temi finanziari e fiscali in lingua spagnola, allegati SVG malevoli, servizi di URL shortening e siti costruiti per sembrare piattaforme dedicate a documenti e PDF. Arctic Wolf non ha recuperato direttamente il messaggio di phishing originario della compromissione venezuelana, ma ha collegato il file analizzato a oltre cento SVG provenienti dalla stessa infrastruttura. L’apertura dell’allegato indirizza il browser attraverso URL intermedi fino a un sito controllato dagli attaccanti, che distribuisce un archivio 7-Zip contenente il primo impianto GoCaracal. La catena mostra quindi una continuità operativa importante: Dark Caracal non abbandona tecniche che continuano a funzionare, ma sostituisce e amplia gli strumenti utilizzati dopo l’accesso iniziale.

GoCaracal esiste in una variante leggera e una estesa

L’analisi di 249 campioni ha permesso ai ricercatori di ricostruire l’evoluzione del framework tra gennaio e luglio 2026. GoCaracal non è un singolo RAT monolitico, ma una base modulare dalla quale gli operatori possono generare profili differenti. La versione lightweight serve soprattutto a stabilire il foothold: raccoglie informazioni sul sistema, comunica con il C2 attraverso un protocollo personalizzato cifrato con AES-GCM, apre una shell remota, scarica ed esegue file, carica shellcode e può iniettarlo in altri processi. La variante extended porta invece il framework nella fase di post-compromissione, con almeno 34 handler dedicati a ricognizione, gestione dei processi, ricerca e trasferimento dei file, raccolta dei database dei browser, keylogging e persistenza. Include inoltre un proxy SOCKS5, controllo desktop basato su WebRTC e una funzione capace di clonare un profilo Chrome dentro una sessione browser nascosta. La separazione consente agli operatori di installare inizialmente un impianto più leggero e aumentare le capacità soltanto sulle vittime considerate interessanti.

Ethereum diventa il paracadute del comando e controllo

La caratteristica più innovativa compare nella versione estesa. Accanto all’indirizzo primario del C2, la configurazione può contenere l’indirizzo di uno smart contract Ethereum. Dopo ripetuti fallimenti nel raggiungere il server principale, GoCaracal effettua una richiesta eth_getStorageAt attraverso un endpoint pubblico JSON-RPC e legge un valore conservato nello storage del contratto. Se il dato restituito contiene un indirizzo valido, il malware aggiorna la configurazione in memoria e tenta nuovamente di collegarsi. È importante precisare che Ethereum non viene utilizzato per trasportare l’intero traffico C2: la blockchain serve soltanto come canale di configurazione resiliente, dal quale recuperare l’indirizzo del nuovo server. Gli operatori possono quindi cambiare destinazione attraverso una normale transazione on-chain senza modificare il binario già presente sulle vittime. Arctic Wolf ha identificato un contratto denominato BulletproofC2, oltre ad altre istanze identiche distribuite prima sulla testnet Sepolia e successivamente sulla mainnet Ethereum, dimostrando che il meccanismo è stato testato e realmente utilizzato.

Leggi anche: EtherHiding trasforma gli smart contract in un C2 resistente ai takedown

GoCaracal applica agli APT una tecnica già vista nel malware criminale

La scelta di Ethereum non nasce nel vuoto. La blockchain viene utilizzata sempre più spesso come livello di risoluzione e aggiornamento del comando e controllo proprio perché riduce la dipendenza da domini e server facilmente sequestrabili. ClearFake ha già utilizzato smart contract sulla BSC Testnet per recuperare configurazioni e payload; campagne più recenti hanno nascosto indirizzi C2 dentro normali transazioni Ethereum o sfruttato la blockchain TON per la stessa funzione.

GoCaracal porta però questa logica in un contesto di cyberspionaggio mirato, dove la resilienza dell’infrastruttura possiede un valore ancora maggiore. Un dominio può essere sinkholato, un VPS può essere sequestrato e un IP può entrare rapidamente nelle blacklist. Uno smart contract pubblico rimane invece disponibile attraverso numerosi provider RPC e può essere interrogato senza che l’impianto debba conoscere preventivamente il nuovo server controllato dagli operatori. Il vantaggio è quindi soprattutto logistico: la blockchain diventa una rubrica pubblica, distribuita e difficilmente eliminabile per l’infrastruttura offensiva.

Bandook resta attivo accanto al nuovo framework

GoCaracal non sostituisce ancora Bandook, uno dei malware più longevi associati alle operazioni Dark Caracal. Durante la compromissione venezuelana Arctic Wolf ha osservato il lightweight implant seguito da un loader Delphi contenente una variante aggiornata di Bandook e successivamente dalla versione estesa di GoCaracal. Il vecchio RAT continua quindi a operare accanto alla nuova piattaforma. La versione individuata nel 2026 modifica però alcuni elementi storici per rendere più difficile l’analisi: gli identificatori sequenziali dei comandi sono stati sostituiti con stringhe randomizzate e anche gli export dei plugin risultano offuscati. Arctic Wolf ha contato circa 82 handler e capacità per sottrarre credenziali dai browser Chrome, Brave e Firefox. La sovrapposizione funzionale con GoCaracal suggerisce che Dark Caracal stia sperimentando una transizione progressiva, mantenendo strumenti conosciuti mentre verifica sul campo la stabilità della nuova architettura.

La campagna punta soprattutto all’America Latina

L’infrastruttura osservata rafforza il legame con le precedenti attività regionali. I domini utilizzano nomi in spagnolo legati a documenti, contabilità, assistenza e PDF, mentre i ricercatori hanno identificato artefatti associati a Venezuela, Brasile, Ecuador, Cile, Colombia, El Salvador e Uruguay. La vittima direttamente investigata resta un’organizzazione venezuelana nel settore delle comunicazioni, quindi le altre geografie devono essere interpretate come indicazioni di attività più ampia e non automaticamente come compromissioni confermate. Arctic Wolf attribuisce la campagna a Dark Caracal con media confidenza, basandosi sulla convergenza tra Bandook, loader Delphi, esche finanziarie in spagnolo, SVG malevoli, infrastrutture già note e vittimologia coerente. Anche il modello di hosting è compartimentato: quasi tutti i C2 GoCaracal individuati si trovavano su reti operate da AEZA Group, mentre Bandook utilizzava server AlexHost. Separare le infrastrutture limita il rischio che un singolo takedown comprometta contemporaneamente l’intero arsenale.

Il vero problema difensivo sono le richieste RPC apparentemente legittime

L’abuso di Ethereum rende meno affidabile una difesa costruita esclusivamente attorno a domini e IP malevoli. Un endpoint compromesso può interrogare un provider JSON-RPC pubblico perfettamente legittimo, leggere lo storage dello smart contract e ottenere un C2 mai comparso nella configurazione originaria del malware. Bloccare indiscriminatamente Ethereum non è una soluzione realistica negli ambienti che utilizzano Web3 o applicazioni blockchain. Diventa quindi necessario correlare il traffico con il comportamento locale: processi che normalmente non interagiscono con blockchain ma iniziano improvvisamente a effettuare chiamate eth_getStorageAt, seguite da connessioni verso nuovi IP, meritano un’analisi immediata. Lo stesso vale per accessi anomali ai database dei browser, acquisizione delle sequenze da tastiera, creazione di proxy SOCKS5 e persistenze nel registro. Arctic Wolf ha pubblicato anche una regola YARA per il lightweight implant e una serie di indicatori relativi a file, domini, IP, wallet e contratti Ethereum.

Continua con:

• NullReceiver nasconde il C2 dentro normali transazioni Ethereum e riduce ancora gli indicatori statici
• Kimwolf usa Ethereum ed ENS per mantenere aggiornata l’infrastruttura di una botnet da milioni di dispositivi

GoCaracal mostra che la blockchain è ormai parte dell’infrastruttura APT

La rilevanza di GoCaracal va quindi oltre la singola famiglia malware. Dark Caracal sta combinando phishing tradizionale, RAT storici, codice Go modulare e infrastruttura blockchain, dimostrando come tecniche nate nel cybercrime commodity possano diventare strumenti utili anche nelle campagne di intelligence. Ethereum non rende invisibile l’operazione e non elimina i C2 tradizionali, ma offre agli attaccanti un livello di resilienza economico, globale e indipendente dal singolo provider. Per i difensori questo significa ampliare il concetto stesso di infrastruttura avversaria: non basta più monitorare VPS, domini e certificati, perché una parte della configurazione può vivere permanentemente on-chain. GoCaracal conferma che il comando e controllo decentralizzato non è più una curiosità tecnica, ma un modello operativo che gli APT stanno iniziando a integrare nei propri arsenali.