Il gruppo di cyberspionaggio Dark Caracal è riemerso con un nuovo framework malware progettato per mantenere l’accesso ai sistemi compromessi anche dopo che i team di sicurezza interrompono l’infrastruttura di comando e controllo del gruppo.

I ricercatori hanno collegato l’attività a un’intrusione del giugno 2026 che ha coinvolto un’organizzazione venezuelana del settore delle comunicazioni, in cui gli autori hanno distribuito un framework malware basato su Go, finora poco conosciuto, chiamato GoCaracal, insieme al backdoor Bandook già in uso dal gruppo. La campagna si è basata su messaggi di phishing in lingua spagnola con temi finanziari e fiscali per indurre le vittime ad aprire allegati malevoli.

I ricercatori di sicurezza di Arctic Wolf hanno identificato GoCaracal أثناء l’analisi della violazione e hanno attribuito l’attività a Dark Caracal. La loro indagine su 249 campioni ha individuato due versioni del malware, una focalizzata sull’ottenimento dell’accesso iniziale e l’altra su funzionalità più ampie di sorveglianza e controllo remoto.

Lo sviluppo più rilevante è la capacità di GoCaracal di recuperare da uno smart contract di Ethereum un indirizzo sostitutivo del server di comando e controllo, consentendo ai sistemi infetti di riconnettersi anche se il server principale viene disattivato.

La tecnica modifica il ruolo dell’infrastruttura blockchain nelle operazioni malware. Invece di usare Ethereum per trasmettere comandi direttamente ai dispositivi compromessi, gli attaccanti utilizzano la blockchain come archivio persistente per i dati di configurazione. Una macchina infetta può interrogare un servizio Ethereum, recuperare l’indirizzo aggiornato del server memorizzato in uno smart contract e tentare di stabilire un’altra connessione.

Lo smart contract di Ethereum fornisce un backup all’infrastruttura di comando

Nel corso dell’indagine, i ricercatori hanno identificato uno smart contract Solidity chiamato BulletproofC2. L’attività associata al contratto mostrava che il valore memorizzato era stato modificato per contenere un indirizzo accessibile pubblicamente.

L’infrastruttura è comparsa sulla rete di test Sepolia di Ethereum prima che l’attività venisse osservata successivamente sulla mainnet di Ethereum. I ricercatori hanno inoltre trovato indirizzi privati in alcune attività di test. La progressione indica che il meccanismo di fallback basato su blockchain potrebbe essersi evoluto dalla sperimentazione a una funzionalità operativa di resilienza.

Questo approccio potrebbe rendere meno efficaci i takedown dell’infrastruttura, perché gli operatori non dovrebbero necessariamente distribuire un nuovo campione malware dopo aver modificato il server di comando. Potrebbero invece aggiornare tramite una transazione il valore memorizzato sulla blockchain, consentendo ai sistemi infetti di individuare una nuova destinazione.

Anche più servizi di accesso a Ethereum possono fornire accesso alle informazioni memorizzate. Di conseguenza, la rimozione di un singolo server o dominio potrebbe non essere sufficiente a interrompere le comunicazioni con tutti i sistemi compromessi.

Il meccanismo di fallback basato su blockchain offre a Dark Caracal un modo per separare distribuzione del malware, infrastruttura di comando e meccanismi di recupero, rendendo l’interruzione più difficile per i difensori.

Il phishing SVG resta centrale nella campagna

Nonostante la nuova tecnica infrastrutturale, il processo di infezione iniziale ha continuato a fare affidamento su tattiche di phishing note. Gli attaccanti hanno distribuito file immagine SVG contenenti link abbreviati nascosti. Una volta aperti, i file indirizzavano le vittime attraverso una serie di redirect prima di raggiungere i siti che ospitavano il payload malevolo.

I file SVG possono contenere contenuti web attivi, consentendo agli attaccanti di mascherare link malevoli all’interno di quello che può apparire come un normale allegato immagine. La campagna ha quindi distribuito un archivio contenente un piccolo implant in grado di stabilire la foothold iniziale e recuperare strumenti aggiuntivi.

La variante GoCaracal più leggera era progettata per profilare i sistemi compromessi, comunicare con gli attaccanti e scaricare ulteriori componenti. La versione più capace aggiungeva funzioni per la ricerca di file, la raccolta di informazioni del browser e delle battute sulla tastiera, la creazione di connessioni proxy e l’abilitazione di accesso remoto al desktop nascosto. Includeva inoltre meccanismi pensati per mantenere la persistenza dopo i riavvii del sistema.

Bandook è stato distribuito durante la stessa intrusione, indicando che Dark Caracal non ha abbandonato il proprio malware consolidato. Al contrario, il nuovo framework basato su Go sembra affiancare il toolkit esistente del gruppo offrendo maggiore flessibilità.

Attività più ampia in America Latina sotto indagine

Arctic Wolf ha inoltre identificato artefatti correlati associati a Brasile, Ecuador, Cile, Colombia, El Salvador e Uruguay. Tuttavia, i ricercatori hanno indicato che la portata regionale più ampia resta oggetto di indagine, il che significa che l’incidente venezuelano confermato fornisce la prova più chiara dell’attività della campagna.

La campagna evidenzia perché i difensori debbano monitorare insieme allegati di phishing, attività degli endpoint e connessioni di rete, in particolare quando connessioni fallite al server di comando sono seguite da richieste Ethereum RPC inattese.

I team di sicurezza possono ridurre l’esposizione trattando gli allegati SVG non richiesti come contenuti potenzialmente attivi anziché come semplici immagini innocue. Le organizzazioni dovrebbero inoltre monitorare archivi insoliti, redirect sospetti e comportamenti di accesso remoto inattesi, analizzando al contempo la telemetria degli endpoint e della rete per individuare segnali di tentativi di connessione ripetuti.

L’operazione dimostra che interrompere un server di comando convenzionale potrebbe non essere più sufficiente per porre fine a un’intrusione. Incorporando meccanismi di recupero basati su blockchain nell’infrastruttura malware, gli attaccanti possono creare percorsi aggiuntivi per consentire ai sistemi compromessi di ristabilire il contatto, costringendo i difensori a identificare e interrompere ogni fase della catena di attacco.

The post Dark Caracal Uses Ethereum to Strengthen Malware Resilience appeared first on CoinTrust .