Un framework malware di recente documentazione, denominato GoCaracal, sta sfruttando l'infrastruttura di Ethereum per supportare il ripristino del command-and-control (C2) durante gli attacchi informatici, secondo una ricerca di Arctic Wolf. L'azienda di cybersecurity ha osservato il malware basato su Go durante un'intrusione del giugno 2026 che ha coinvolto un'organizzazione di comunicazioni in Venezuela.

L'infrastruttura di command-and-control è il canale che gli attaccanti utilizzano per inviare istruzioni ai sistemi compromessi e per recuperarne i dati. Le configurazioni C2 convenzionali si basano tipicamente su nomi di dominio o indirizzi IP hardcoded incorporati nel malware, che i difensori possono neutralizzare sequestrando i domini, reindirizzando il traffico verso sinkhole o bloccando gli indirizzi a livello di rete. Poiché i dati scritti su una blockchain pubblica come Ethereum non possono essere modificati o rimossi unilateralmente, un canale di fallback basato su blockchain non è interessato da queste contromisure standard di takedown.

Gli smart contract su Ethereum sono programmi autoeseguibili memorizzati sulla blockchain. Una volta distribuiti, il loro codice e tutti i dati che contengono restano leggibili pubblicamente e persistenti sui nodi decentralizzati della rete. Per GoCaracal, questa proprietà consente a un indirizzo o a un puntatore memorizzato in uno smart contract di continuare a fungere da meccanismo di ripristino anche se l'infrastruttura C2 principale del malware viene smantellata.

Quella stessa trasparenza è però un'arma a doppio taglio. Qualsiasi aggiornamento che un attaccante scrive nel contratto è esso stesso una transazione pubblica, quindi i difensori che identificano l'indirizzo del contratto possono osservarlo direttamente per individuare modifiche ai dati C2 memorizzati, anziché attendere che emergano nuovi domini o indirizzi IP. Il recupero dei dati on-chain richiede inoltre che l'host compromesso raggiunga in qualche forma la rete di Ethereum, il che mantiene rilevanti, come livello difensivo, i controlli sul traffico in uscita verso gli endpoint delle blockchain pubbliche.

GoCaracal è scritto nel linguaggio di programmazione Go (Golang). Negli ultimi anni Go è diventato una scelta comune tra gli sviluppatori di malware, principalmente perché consente una cross-compilazione agevole per più sistemi operativi e architetture.

L'abuso delle blockchain pubbliche come infrastruttura per malware è una categoria di tecniche riconosciuta nella ricerca sulla sicurezza. In passato è stato documentato che threat actor utilizzano storage su blockchain e smart contract per ospitare dati di configurazione C2, sfruttando la struttura resistente alla censura di queste reti. In questi casi la blockchain stessa non viene compromessa: gli attaccanti riutilizzano un'infrastruttura pubblica permissionless le cui garanzie di disponibilità valgono per qualsiasi utente.

La scoperta è stata documentata da Arctic Wolf e riportata da CoinGape (fonte); la notizia è pubblicata anche da CryptoNews.net (copertura).