Die GoCaracal Malware ist ein neues, bislang undokumentiertes Schadsoftware-Framework, das im Juni 2026 im Rahmen einer Intrusion in Venezuela zum Einsatz kam. Laut einer Analyse von Arctic Wolf handelt es sich um eine Go-basierte Plattform, die Angreifer für interaktive Kontrolle und das Ausführen weiterer Payloads nutzen. Zusätzlich erweitert ein „extended“ Profil die Fähigkeiten deutlich – von Datendiebstahl bis hin zu Remote-Desktop-Funktionalität.
Besonders interessant ist jedoch ein Mechanismus, der die Steuerung resilienter machen kann: Wenn die konventionelle Kommando- und Kontrollkommunikation (C2) scheitert, wird über einen öffentlichen Ethereum-Endpunkt eine Ersatzadresse aus einem Smart Contract nachgeladen. Dadurch lässt sich die Rückfalladresse verändern, ohne eine neue Binärdatei ausrollen zu müssen.
Überblick: GoCaracal Malware und ihre Profile
Arctic Wolf ordnet die Aktivität mit mittlerer Sicherheit einer Angreifergruppe zu, die mit Dark Caracal in Verbindung gebracht wird. Der Einsatz erfolgte während einer Intrusion, bei der die Zielorganisation in der Auswertung nicht namentlich genannt wurde.
GoCaracal kommt offenbar in unterschiedlichen Konfigurationen bzw. „Profilen“ vor. In der Analyse werden zwei Varianten unterschieden: ein leichteres Profil und ein erweitertes Profil.
Leichtes Profil: Basisfunktionen für Kontrolle
Das leichte Profil unterstützt unter anderem:
- Host-Profiling zur Informationsgewinnung über das Zielsystem
- ein verschlüsseltes C2-Kanal-Setup
- interaktiven Shell-Zugriff
- Payload-Abruf und -Ausführung
- Shellcode-Laden und -Injection
Damit bildet es eine Grundlage, um weitere Aktionen auf dem kompromittierten System anzustoßen und auszuführen.
Erweitertes Profil: Spionage und Netzwerkvermittlung
Das erweiterte Profil geht deutlich weiter. Zusätzlich zu den Basisfunktionen werden laut Arctic Wolf unter anderem folgende Fähigkeiten beschrieben:
- System- und Dateisuche/Discovery
- Befehlsausführung
- Sammlung von Browser-Cookies und Logindatenbankinhalten
- Keylogging
- gezielte Dateisuche
- Remote-Desktop über WebRTC
- versteckte Browserinteraktionen
- SOCKS5-Proxying
- Persistenz-nahe Funktionalität
In der Praxis bedeutet das: Neben „klassischem“ Remote-Control stehen auch Datenerhebung und lateral-orientierte Netzwerkfunktionen im Fokus.
Rolle von Bandook: Parallelität statt einfacher Ablösung
Arctic Wolf berichtet, dass im untersuchten Szenario Bandook später zusammen mit dem leichten Profil bereitgestellt wurde. Bandook lief dabei parallel zu GoCaracal. Gleichzeitig hält Arctic Wolf fest, dass die vorhandenen Belege nicht ausreichen, um GoCaracal als unmittelbaren Ersatz für Bandook zu bewerten.
Für Verteidiger ist das relevant, weil die Untersuchung potenziell zwei Komponenten umfasst: die neuartige Go-basierte Steuerung sowie ein weiteres, etabliertes Schadprogramm, das in derselben Kampagnenphase agieren kann.
Phishing als Einstieg – ohne Zugriff auf das Originalmaterial
Als wahrscheinlichsten Auslieferungsweg bewertet Arctic Wolf Phishing. Allerdings konnte das ursprüngliche Phishing-E-Mail- oder das zugehörige SVG-Anhangmaterial beim Opfer nicht mehr rekonstruiert werden.
Die Einschätzung stützt sich laut Analyse auf mehrere Muster: Art und Benennung der Artefakte (u. a. mit finanz- und steuerbezogener Terminologie), der wiederkehrende Kampagnenstil sowie mehr als 100 verwandte SVG-Dateien, die über dieselbe bösartige Hosting-Quelle kommunizierten.
Ergänzend wurden in der Auswertung u. a. auch URL-Shortener und bestimmte dokumentenbasierte Infrastrukturen hervorgehoben. Zudem zeigte die Infrastruktur Präferenzen für bestimmte Hosting-Provider, was zur Kampagnenidentifikation beitragen kann.
Warum der Ethereum-Fallback so auffällig ist
Der Kernpunkt der technischen Analyse betrifft den Umgang mit gescheiterten C2-Verbindungen. Das erweiterte GoCaracal-Profil versucht zunächst, mit dem konfigurierten primären C2-Server zu kommunizieren. Wenn diese Versuche wiederholt fehlschlagen, nutzt die Malware einen öffentlich erreichbaren Ethereum JSON-RPC-Endpunkt.
Konkret sendet sie eine Anfrage vom Typ eth_getStorageAt. Die Antwort enthält eine Ersatzadresse, die in einem konfigurierten Smart Contract gespeichert ist. Diese Adresse wird anschließend in die Speicher-Konfiguration der Malware geschrieben, und danach versucht sie erneut, die C2-Kommunikation – jetzt über die Ersatzadresse – im üblichen, nicht-„chain-nativen“ Off-Chain-Stil fortzusetzen.
Arctic Wolf betont dabei ausdrücklich: Dieser Mechanismus platziert nicht den gesamten C2-Kanal auf Ethereum. Vielmehr geht es darum, bei Bedarf eine neue Rückfalladresse zu beschaffen und damit den Zugriff auf die nächste C2-Komponente flexibel zu halten.
Mehrere RPC-Endpunkte zur Reduktion von Abhängigkeiten
Ein weiterer Aspekt, der die Robustheit erhöhen kann: Die Malware kann laut Analyse mehrere öffentliche RPC-Endpunkte verwenden, um denselben Contract-State auszulesen. Dadurch sinkt die Abhängigkeit von einem einzigen „Fahrschein“ bzw. einem konkreten Zugriffspunkt.
Wechsel der C2-Adresse ohne neue Binärdatei
Der Smart-Contract-Ansatz hat für Angreifer einen klaren Vorteil: Sie können die Ersatz-C2-Adresse ändern, ohne eine neue GoCaracal Malware-Binärdatei auszuliefern. Aus Sicht der Verteidigung kann das die Reaktion erschweren, weil statische Block- oder IOC-Listen schnell an Wert verlieren können, wenn sich die relevanten Adresskomponenten dynamisch nachladen lassen.
Hinzu kommt: In der öffentlichen Berichterstattung wird laut Arctic Wolf nicht ersichtlich, welches konkrete System in der untersuchten Juni-Intrusion den C2-Fallback tatsächlich ausgelöst hat und anschließend über die Ersatzadresse wieder angebunden wurde.
Geografie und Kampagnenkontext
Arctic Wolf ordnet die Aktivität in einen größeren regionalen Zusammenhang ein. Dark Caracal gilt dem Bericht zufolge als historisch aktiv in Lateinamerika. Der ursprüngliche Dark-Caracal-Disclosure-Kontext wurde bereits in früheren Berichten aufgegriffen, darunter auch erneute Anpassungen von Bandook-Malware.
Die Analyse verknüpft verwandte Artefakte und Infrastruktur außerdem mit Ländern wie Brasilien, Ecuador, Chile, Kolumbien, El Salvador und Uruguay. Dabei weist Arctic Wolf allerdings darauf hin, dass diese Orte nicht als bestätigte Opferländer im Sinne einer durchgängigen Zuordnung gelten.
Auch eine konkrete Gesamtzahl kompromittierter Organisationen mit GoCaracal liefert der öffentliche Bericht nicht.
Indicators of Compromise: Was Defender nutzen können
Arctic Wolf stellt für die Jagd nach der GoCaracal Malware öffentlich bestimmte Artefakte bereit. Dazu gehören:
- Eine YARA-Regel für das leichte GoCaracal-Profil
- Beispielhafte SHA-256-Hashes sowie zugehörige Domains und IP-Adressen
- Ethereum-Contract- und Wallet-bezogene Indikatoren
- Host-Pfade, die mit der Malware verknüpft sind
Wichtig: Arctic Wolf ordnet die publizierten Daten als referenziell ein. Der vollständige Datensatz sei für Kunden von Arctic Wolf verfügbar.
Praktische Implikationen für Monitoring und Incident Response
Auch ohne jedes Detail zu kennen, lassen sich aus der Funktionsbeschreibung klare Prioritäten ableiten. Wenn ihr eure Detektion auf klassische C2-Endpoints ausrichtet, solltet ihr zusätzlich auf C2-Ausweichmechanismen achten – insbesondere auf Muster, die eine Umstellung nach Verbindungsfehlern nahelegen.
Da GoCaracal bei Fehlschlägen über Ethereum einen Smart Contract abfragt, kann das in bestimmten Umgebungen zusätzliche Signale liefern: etwa ungewöhnliche Zugriffe auf Ethereum JSON-RPC-Endpunkte oder spezifische JSON-RPC-Aufrufmuster.
Außerdem lohnt es sich, die erweiterten Fähigkeiten in die Priorisierung eurer Telemetrie einzubeziehen. Keylogging, Browserdaten-Sammlung, WebRTC-Remote-Desktop und SOCKS5-Proxying sind nicht nur theoretische Merkmale, sondern in der Praxis häufig mit eindeutigen Spuren auf Hosts oder in Netzwerkflüssen verbunden.
Fazit
Die GoCaracal Malware zeigt, wie Angreifer technische Flexibilität mit klaren Spionage- und Kontrollfunktionen verbinden. Während das leichte Profil vor allem für Remote-Shell und Payload-Management steht, liefert das erweiterte Profil zusätzliche Schichten wie Datendiebstahl, Keylogging, Remote-Desktop und Proxying.
Der auffälligste Schritt ist der Ethereum-basierte C2-Fallback: Nach wiederholten Verbindungsfehlern wird über eth_getStorageAt eine Ersatzadresse aus einem Smart Contract nachgeladen und damit die anschließende Kommunikation umgelenkt. So bleibt die Kampagne anpassungsfähig, ohne dass ständig neue Malware-Versionen verteilt werden müssen.
Quelle: https://thehackernews.com/2026/08/gocaracal-malware-uses-ethereum-smart.html
