Selon des recherches menées par Arctic Wolf, un cadre de logiciels malveillants récemment documenté, nommé GoCaracal, exploite l'infrastructure Ethereum pour assurer la récupération de son canal de commande et de contrôle (C2) lors de cyberattaques. La société de cybersécurité a observé ce logiciel malveillant écrit en Go lors d'une intrusion survenue en juin 2026 impliquant une organisation de communications au Venezuela.

L'infrastructure de commande et de contrôle est le canal par lequel les attaquants envoient des instructions aux systèmes compromis et en extraient des données. Les configurations C2 classiques reposent généralement sur des noms de domaine ou des adresses IP codés en dur dans le logiciel malveillant, que les défenseurs peuvent neutraliser en saisissant les domaines, en redirigeant le trafic vers des sinkholes ou en bloquant les adresses au niveau du réseau. Comme les données inscrites sur une blockchain publique comme Ethereum ne peuvent être ni modifiées ni supprimées de manière unilatérale, un canal de secours fondé sur la blockchain n'est pas affecté par ces mesures de démantèlement standard.

Les contrats intelligents sur Ethereum sont des programmes auto-exécutables stockés sur la blockchain. Une fois déployés, leur code et les données qu'ils contiennent restent lisibles publiquement et persistants sur les nœuds décentralisés du réseau. Pour GoCaracal, cette propriété permet à une adresse ou à un pointeur stocké dans un contrat intelligent de continuer à servir de mécanisme de récupération, même si l'infrastructure C2 principale du logiciel malveillant est démantelée.

Cette même transparence joue dans les deux sens. Toute mise à jour qu'un attaquant inscrit dans le contrat constitue elle-même une transaction publique ; les défenseurs qui identifient l'adresse du contrat peuvent donc la surveiller directement pour détecter des modifications des données C2 stockées, au lieu d'attendre l'apparition de nouveaux domaines ou de nouvelles adresses IP. La récupération de données on-chain exige également que l'hôte compromis accède, d'une manière ou d'une autre, au réseau Ethereum, ce qui maintient la pertinence des contrôles du trafic sortant vers les points de terminaison blockchain publics en tant que couche défensive.

GoCaracal est écrit dans le langage de programmation Go (Golang). Ces dernières années, Go est devenu un choix courant parmi les développeurs de logiciels malveillants, notamment parce qu'il permet une compilation croisée simple pour plusieurs systèmes d'exploitation et architectures.

L'abus des blockchains publiques comme infrastructure de logiciels malveillants constitue une catégorie de techniques reconnue dans la recherche en sécurité. Des acteurs de menace ont déjà été documentés utilisant le stockage blockchain et les contrats intelligents pour héberger des données de configuration C2, exploitant la conception résistante à la censure de ces réseaux. Dans ces cas, la blockchain elle-même n'est pas compromise ; les attaquants détournent une infrastructure publique sans permission dont les garanties de disponibilité s'appliquent à tout utilisateur.

Cette découverte a été documentée par Arctic Wolf et relayée par CoinGape (source) ; l'information est également reprise par CryptoNews.net (couverture).