Le groupe de cyberespionnage Dark Caracal est réapparu avec un nouveau framework de malware conçu pour aider à maintenir l’accès aux systèmes compromis, même après que les équipes de sécurité aient perturbé l’infrastructure de commande et de contrôle du groupe.

Les chercheurs ont relié cette गतिविधी à une intrusion de juin 2026 impliquant une organisation de communications vénézuélienne, au cours de laquelle les attaquants ont déployé un framework malveillant basé sur Go jusque-là peu connu, appelé GoCaracal, aux côtés du backdoor Bandook déjà utilisé par le groupe. La campagne s’appuyait sur des messages de phishing en espagnol contenant des thèmes financiers et fiscaux afin d’inciter les victimes à ouvrir des pièces jointes malveillantes.

Des chercheurs en sécurité d’Arctic Wolf ont identifié GoCaracal en examinant la compromission et ont attribué l’activité à Dark Caracal. Leur analyse de 249 échantillons a mis au jour deux versions du malware, l’une axée sur l’obtention d’un accès initial et l’autre fournissant des capacités plus larges de surveillance et de contrôle à distance.

L’évolution la plus notable est la capacité de GoCaracal à récupérer une adresse de serveur de commande et de contrôle de remplacement à partir d’un smart contract Ethereum, permettant aux systèmes infectés de se reconnecter même si le serveur principal est mis hors ligne.

Cette technique modifie le rôle de l’infrastructure blockchain dans les opérations de malware. Plutôt que d’utiliser Ethereum pour transmettre directement des commandes aux appareils compromis, les attaquants utilisent la blockchain comme emplacement de stockage persistant pour les données de configuration. Une machine infectée peut interroger un service Ethereum, récupérer l’adresse de serveur mise à jour stockée dans un smart contract et tenter d’établir une autre connexion.

Un smart contract Ethereum fournit une sauvegarde à l’infrastructure de commande

Les chercheurs ont identifié au cours de l’enquête un smart contract Solidity nommé BulletproofC2. L’activité associée au contrat a montré que sa valeur stockée avait été modifiée pour contenir une adresse accessible publiquement.

L’infrastructure est apparue sur le réseau de test Sepolia d’Ethereum avant qu’une activité ne soit observée plus tard sur le mainnet Ethereum. Les chercheurs ont également trouvé des adresses privées dans certaines activités de test. Cette progression indique que le mécanisme de repli basé sur la blockchain a pu évoluer d’une phase d’expérimentation vers une fonctionnalité de résilience opérationnelle.

Cette approche pourrait rendre les démantèlements d’infrastructure moins efficaces, car les opérateurs n’auraient pas nécessairement besoin de distribuer un nouvel échantillon de malware après avoir modifié leur serveur de commande. Ils pourraient à la place mettre à jour la valeur stockée sur la blockchain au moyen d’une transaction, permettant ainsi aux systèmes infectés de découvrir une nouvelle destination.

Plusieurs services d’accès à Ethereum peuvent également fournir un accès aux informations stockées. En conséquence, la mise hors service d’un seul serveur ou domaine peut ne pas suffire à couper les communications avec tous les systèmes compromis.

Ce mécanisme de repli fondé sur la blockchain offre à Dark Caracal un moyen de séparer la distribution du malware, l’infrastructure de commande et les mécanismes de récupération, rendant la perturbation plus difficile pour les défenseurs.

Le phishing SVG reste au cœur de la campagne

Malgré cette nouvelle technique d’infrastructure, le processus d’infection initial a continué de reposer sur des tactiques de phishing familières. Les attaquants ont diffusé des fichiers image SVG contenant des liens raccourcis dissimulés. Une fois ouverts, ces fichiers redirigeaient les victimes avant d’atteindre des sites hébergeant la charge utile malveillante.

Les fichiers SVG peuvent contenir du contenu web actif, ce qui permet aux attaquants de dissimuler des liens malveillants dans ce qui peut sembler être une simple pièce jointe image. La campagne a ensuite livré une archive contenant un petit implant capable d’établir la première tête de pont et de récupérer des outils supplémentaires.

La variante GoCaracal plus légère était conçue pour profiler les systèmes compromis, communiquer avec les attaquants et télécharger d’autres composants. La version plus avancée ajoutait des fonctions de recherche de fichiers, de collecte d’informations sur le navigateur et des frappes clavier, de création de connexions proxy et d’activation d’un accès bureau à distance dissimulé. Elle incluait également des mécanismes destinés à maintenir la persistance après les redémarrages du système.

Bandook a été déployé lors de la même intrusion, ce qui indique que Dark Caracal n’a pas abandonné son malware établi. Le nouveau framework basé sur Go semble plutôt compléter la boîte à outils existante du groupe tout en offrant une flexibilité supplémentaire.

Une activité plus large en Amérique latine fait l’objet d’une enquête

Arctic Wolf a également identifié des artefacts associés au Brésil, à l’Équateur, au Chili, à la Colombie, au Salvador et à l’Uruguay. Toutefois, les chercheurs ont indiqué que la portée régionale plus large reste à l’étude, ce qui signifie que l’incident vénézuélien confirmé fournit la preuve la plus claire de l’activité de la campagne.

Cette campagne souligne pourquoi les défenseurs doivent surveiller ensemble les pièces jointes de phishing, l’activité des terminaux et les connexions réseau, en particulier lorsque des connexions échouées au serveur de commande sont suivies de requêtes Ethereum RPC inattendues.

Les équipes de sécurité peuvent réduire l’exposition en traitant les pièces jointes SVG non sollicitées comme du contenu potentiellement actif plutôt que comme de simples images inoffensives. Les organisations devraient également surveiller les archives inhabituelles, les redirections suspectes et les comportements d’accès à distance inattendus, tout en examinant la télémétrie des terminaux et du réseau pour détecter des tentatives de connexion répétées.

Cette opération montre que la perturbation d’un serveur de commande conventionnel peut ne plus suffire à mettre fin à une intrusion. En intégrant des mécanismes de récupération fondés sur la blockchain dans l’infrastructure du malware, les attaquants peuvent créer des voies supplémentaires permettant aux systèmes compromis de reprendre contact, obligeant les défenseurs à identifier et à perturber chaque étape de la chaîne d’attaque.

The post Dark Caracal Uses Ethereum to Strengthen Malware Resilience appeared first on CoinTrust .