Die Cyberespionage-Gruppe Dark Caracal ist mit einem neuen Malware-Framework wieder aufgetaucht, das darauf ausgelegt ist, den Zugriff auf kompromittierte Systeme aufrechtzuerhalten, selbst nachdem Sicherheitsteams die Command-and-Control-Infrastruktur der Gruppe unterbrochen haben.

Forscher brachten die Aktivität mit einer Intrusion im Juni 2026 in Verbindung, bei der eine venezolanische Kommunikationsorganisation betroffen war. Dabei setzten Angreifer ein zuvor unbekanntes Go-basiertes Malware-Framework namens GoCaracal zusammen mit der etablierten Bandook-Backdoor der Gruppe ein. Die Kampagne nutzte spanischsprachige Phishing-Nachrichten mit Finanz- und Steuerbezug, um Opfer zum Öffnen bösartiger Anhänge zu verleiten.

Sicherheitsforscher von Arctic Wolf identifizierten GoCaracal bei der Untersuchung des Vorfalls und ordneten die Aktivität Dark Caracal zu. Ihre Analyse von 249 Samples ergab zwei Varianten der Malware, wobei eine auf den Erstzugriff ausgerichtet war und die andere umfassendere Überwachungs- und Fernsteuerungsfunktionen bot.

Die bemerkenswerteste Entwicklung ist GoCaracals Fähigkeit, eine Ersatzadresse für den Command-and-Control-Server aus einem Ethereum-Smart-Contract abzurufen, sodass kompromittierte Systeme erneut eine Verbindung herstellen können, selbst wenn der primäre Server offline genommen wird.

Diese Technik verändert die Rolle von Blockchain-Infrastruktur in Malware-Operationen. Statt Ethereum zu verwenden, um Befehle direkt an kompromittierte Geräte zu übertragen, nutzen die Angreifer die Blockchain als dauerhaften Speicherort für Konfigurationsdaten. Ein infiziertes System kann einen Ethereum-Dienst abfragen, die im Smart-Contract gespeicherte aktualisierte Serveradresse abrufen und versuchen, eine weitere Verbindung herzustellen.

Ethereum-Smart-Contract bietet ein Backup für die Befehlsinfrastruktur

Forscher identifizierten während der Untersuchung einen Solidity-Smart-Contract mit dem Namen BulletproofC2. Mit dem Vertrag verbundene Aktivitäten zeigten, dass sein gespeicherter Wert so geändert worden war, dass er eine öffentlich zugängliche Adresse enthielt.

Die Infrastruktur erschien auf dem Sepolia-Testnetz von Ethereum, bevor später Aktivitäten auf dem Ethereum-Mainnet beobachtet wurden. Forscher fanden zudem in einigen Testaktivitäten private Adressen. Der Verlauf deutet darauf hin, dass sich der Blockchain-Fallback-Mechanismus von einem Experiment zu einer operativen Resilienzfunktion entwickelt haben könnte.

Der Ansatz könnte das Abschalten von Infrastruktur weniger wirksam machen, weil Betreiber nach einer Änderung ihres Command-Servers nicht zwingend ein neues Malware-Sample verteilen müssten. Stattdessen könnten sie den in der Blockchain gespeicherten Wert per Transaktion aktualisieren, sodass kompromittierte Systeme ein neues Ziel entdecken.

Mehrere Ethereum-Zugriffsdienste können außerdem Zugriff auf die gespeicherten Informationen bieten. Daher reicht das Abschalten eines einzelnen Servers oder einer Domain möglicherweise nicht aus, um die Kommunikation mit allen kompromittierten Systemen zu unterbrechen.

Der blockchainbasierte Fallback gibt Dark Caracal eine Möglichkeit, Malware-Auslieferung, Befehlsinfrastruktur und Wiederherstellungsmechanismen voneinander zu trennen, was die Störung für Verteidiger erschwert.

SVG-Phishing bleibt zentral für die Kampagne

Trotz der neuen Infrastrukturtechnik beruhte der erste Infektionsschritt weiterhin auf vertrauten Phishing-Taktiken. Angreifer verbreiteten SVG-Bilddateien mit versteckten verkürzten Links. Beim Öffnen leiteten die Dateien die Opfer über Weiterleitungen auf Webseiten, die die bösartige Nutzlast hosteten.

SVG-Dateien können aktiven Webinhalt enthalten, wodurch Angreifer bösartige Links in dem verbergen können, was wie ein gewöhnlicher Bildanhang erscheinen mag. Anschließend lieferte die Kampagne ein Archiv aus, das ein kleines Implantat enthielt, welches den ersten Fuß in das System setzen und weitere Werkzeuge abrufen konnte.

Die leichtere GoCaracal-Variante war darauf ausgelegt, kompromittierte Systeme zu profilieren, mit den Angreifern zu kommunizieren und weitere Komponenten herunterzuladen. Die leistungsfähigere Version fügte Funktionen zum Durchsuchen von Dateien, Sammeln von Browserinformationen und Tastenanschlägen, Erstellen von Proxy-Verbindungen und für verdeckten Remote-Desktop-Zugriff hinzu. Sie enthielt außerdem Mechanismen, die die Persistenz nach Systemneustarts aufrechterhalten sollten.

Bandook wurde während derselben Intrusion eingesetzt, was zeigt, dass Dark Caracal seine etablierte Malware nicht aufgegeben hat. Stattdessen scheint das neue Go-basierte Framework das bestehende Werkzeugset der Gruppe zu ergänzen und zugleich zusätzliche Flexibilität zu bieten.

Breitere Aktivitäten in Lateinamerika werden untersucht

Arctic Wolf identifizierte außerdem verwandte Artefakte mit Bezug zu Brasilien, Ecuador, Chile, Kolumbien, El Salvador und Uruguay. Die Forscher betonten jedoch, dass der breitere regionale Umfang weiterhin untersucht wird, sodass der bestätigte Vorfall in Venezuela den klarsten Beleg für die Aktivität der Kampagne darstellt.

Die Kampagne zeigt, warum Verteidiger Phishing-Anhänge, Endpunktaktivitäten und Netzwerkverbindungen gemeinsam überwachen müssen, insbesondere wenn fehlgeschlagene Verbindungen zum Command-Server von unerwarteten Ethereum-RPC-Anfragen gefolgt werden.

Sicherheitsteams können das Risiko senken, indem sie ungeforderte SVG-Anhänge als potenziell aktiven Inhalt statt als harmlose Bilder behandeln. Organisationen sollten außerdem ungewöhnliche Archive, verdächtige Weiterleitungen und unerwartetes Remote-Zugriffsverhalten überwachen und gleichzeitig Endpunkt- und Netzwerk-Telemetrie auf Anzeichen wiederholter Verbindungsversuche prüfen.

Die Operation zeigt, dass das Stören eines herkömmlichen Command-Servers möglicherweise nicht mehr ausreicht, um eine Intrusion zu beenden. Durch die Einbindung blockchainbasierter Wiederherstellungsmechanismen in Malware-Infrastrukturen können Angreifer zusätzliche Wege schaffen, über die kompromittierte Systeme erneut Kontakt aufnehmen, sodass Verteidiger jede Stufe der Angriffskette identifizieren und stören müssen.

Der Beitrag Dark Caracal nutzt Ethereum, um die Widerstandsfähigkeit von Malware zu stärken erschien zuerst auf CoinTrust .