En juin 2026, des acteurs liés à Dark Caracal auraient déployé une nouvelle plateforme malveillante en Go, baptisée GoCaracal. La particularité la plus marquante, décrite dans une analyse technique d’Arctic Wolf, réside dans la manière dont le malware peut « basculer » vers une adresse de command-and-control (C2) alternative grâce à un contrat Ethereum. Une approche qui vise à réduire la dépendance à un seul point d’accès.
Dans cet article, nous expliquons comment fonctionne cette mécanique de repli, ce que font les deux profils (léger et étendu) et quelles pistes de chasse les défenseurs peuvent exploiter, à partir des indicateurs publics fournis.
GoCaracal : un cadre Go avec accès à distance
Selon le rapport d’Arctic Wolf, GoCaracal a été observé lors d’une intrusion en Venezuela visant une organisation de communication non identifiée. Le malware offre aux opérateurs un accès de type shell distant et la capacité de charger et exécuter des charges utiles.
Au-delà de l’accès interactif, le cadre est aussi décrit comme modulable : il apparaît avec deux profils distincts, un profil léger et un profil étendu. Cette séparation permet d’ajouter progressivement des fonctionnalités davantage orientées vers l’espionnage et la persistance.
Profil léger : contrôle, profilage et C2 chiffré
Le profil léger supporte plusieurs fonctions centrées sur la commande et l’exécution. D’après l’analyse, il inclut :
- le profilage de l’hôte pour ajuster le comportement selon l’environnement ;
- un canal C2 chiffré ;
- un accès shell interactif ;
- le récupérage et l’exécution de charges utiles ;
- le chargement et l’injection de shellcode.
Concrètement, ce profil forme le socle permettant d’orchestrer l’activité de l’intrus depuis l’infrastructure C2, tout en préparant l’exécution de modules additionnels.
Profil étendu : vol de données, contrôle navigateur et proxy SOCKS5
L’option étendue élargit nettement la surface fonctionnelle. Le rapport indique qu’elle ajoute notamment :
- la découverte du système et des fichiers ;
- l’exécution de commandes ;
- la collecte de cookies de navigateur et de bases de connexion ;
- le keylogging ;
- la recherche de fichiers ciblés ;
- un contrôle à distance via WebRTC (remote desktop) ;
- des interactions cachées avec le navigateur ;
- du SOCKS5 proxy pour relayer le trafic ;
- des éléments liés à la persistance.
Cette combinaison suggère un objectif plus complet : non seulement exécuter des actions à distance, mais aussi récupérer des données sensibles, surveiller l’activité et faciliter la navigation ou l’exfiltration via un proxy.
Pourquoi le repli sur Ethereum change la donne
Le point le plus différenciant du GoCaracal contrat Ethereum se situe dans le fonctionnement du repli C2. Le profil étendu commence par tenter une communication avec son serveur C2 principal configuré.
Quand ces tentatives échouent à plusieurs reprises, le malware effectue ensuite une requête vers un endpoint public Ethereum JSON-RPC, via une méthode eth_getStorageAt. Cette requête sert à lire une valeur stockée dans le contrat intelligent configuré.
La réponse contient une adresse de remplacement. GoCaracal écrit cette adresse dans sa configuration en mémoire, puis recommence la communication C2 « classique » en utilisant cette nouvelle destination.
Le rapport souligne un détail important : l’usage potentiel de plusieurs endpoints RPC publics pour lire l’état du contrat limite la dépendance à un seul point de relecture. Autrement dit, l’infrastructure de consultation peut rester accessible même si certaines interfaces sont dégradées.
Le contrat ne transfère pas toute la C2 sur Ethereum
Arctic Wolf précise toutefois que cette approche ne signifie pas que le canal complet C2 passe sur Ethereum. Le rôle du contrat est plutôt de fournir une adresse de repli lorsque le C2 principal n’est plus joignable. Une fois l’adresse obtenue, le malware poursuit ensuite son échange avec le nouvel emprise, sans « déplacer » toute la chaîne opérationnelle sur la blockchain.
Changer l’adresse C2 sans réécrire le binaire
L’intérêt opérationnel de cette mécanique est clair : le contrat Ethereum permettrait à l’opérateur de mettre à jour l’adresse C2 de remplacement. Ainsi, il n’est pas nécessaire de livrer un nouveau binaire GoCaracal pour adapter la destination.
Autrement dit, même si un C2 primaire tombe ou devient inatteignable, l’accès à une adresse alternative peut être activé côté infrastructure, en modifiant l’état stocké dans le contrat.
Incertain sur le lien exact et sur l’exécution du repli
Arctic Wolf estime, avec un niveau de confiance moyen, que cette activité est liée à Dark Caracal. L’attribution s’appuie sur plusieurs observations, notamment :
- des éléments associés à Bandook ;
- des caractéristiques récurrentes liées à un chargeur Delphi ;
- des leurres thématiques (finances et impôts) ;
- des fichiers SVG malveillants ;
- l’utilisation de raccourcisseurs d’URL ;
- une infrastructure marquée par des thèmes de documents ;
- des préférences d’hébergement cohérentes avec des campagnes antérieures ;
- un ciblage orienté vers l’Amérique latine.
Le rapport indique également que Bandook a été déployé en parallèle avec le profil léger, mais que les preuves disponibles ne permettent pas d’affirmer que GoCaracal remplace Bandook. Pour les défenseurs, cela signifie que la chasse doit considérer plusieurs briques, pas uniquement le nouveau cadre Go.
Le vecteur d’infection : phishing présumé
Arctic Wolf considère que le phishing est très probablement le mécanisme de livraison. Néanmoins, l’équipe n’a pas récupéré l’e-mail d’origine ni la pièce jointe SVG depuis la victime.
Cette hypothèse s’appuie notamment sur des éléments de nommage d’artefacts liés aux finances et à la fiscalité, sur le patron établi de campagne et sur l’existence de plus de 100 fichiers SVG ayant communiqué avec le même site d’hébergement malveillant.
Indicateurs publics et chasse aux menaces
Pour aider les équipes de détection, Arctic Wolf a rendu publics certains éléments. Le rapport cite notamment :
- une règle YARA associée au profil GoCaracal léger ;
- des empreintes SHA-256 représentatives ainsi que des domaines et adresses IP liés ;
- des indicateurs liés au contrat Ethereum et aux adresses de portefeuille ;
- des chemins hôtes associés au malware.
Arctic Wolf précise que ces indicateurs publics sont indicatifs et que l’ensemble complet est disponible pour leurs clients. Autrement dit, les données publiées peuvent servir de point de départ, mais ne constituent pas l’intégralité des signaux nécessaires à une chasse approfondie.
Portée de la campagne : données limitées
Le rapport public ne fournit pas un décompte global et confirmé du nombre d’organisations compromises avec GoCaracal. Il indique toutefois que des artefacts et une infrastructure connexe ont été associés à plusieurs pays (Brésil, Équateur, Chili, Colombie, Salvador et Uruguay), avec un niveau de confiance « modéré ».
En revanche, Arctic Wolf ne présente pas ces pays comme des destinations de victimes confirmées pour cette campagne précise.
Enfin, des questions restent ouvertes : la publication ne montre pas clairement quel hôte, au cours de l’intrusion de juin, aurait invoqué le repli et se serait reconnecté via l’adresse de remplacement. Au moment de la publication, Arctic Wolf n’aurait pas répondu aux demandes de clarification relayées.
Ce que les équipes défense doivent retenir
Le mécanisme de GoCaracal contrat Ethereum illustre une tendance : intégrer des composants externes pour maintenir la résilience de la chaîne C2. Même lorsque le serveur principal devient indisponible, le malware peut récupérer une information de repli via un accès lecture à l’état d’un contrat.
Pour les défenseurs, l’enjeu consiste donc à combiner plusieurs axes : signatures (par exemple via YARA), analyse d’artefacts et de chemins locaux, et surveillance d’éléments réseau/infra susceptibles d’indiquer un basculement. Les profils léger et étendu doivent aussi être traités comme des variantes aux capacités différentes, plutôt que comme un seul modèle uniforme.
En bref : GoCaracal ne se limite pas à ouvrir une porte à distance. Il prévoit un scénario de secours, enrichit l’espionnage via un profil étendu et s’appuie sur une configuration pouvant être mise à jour côté contrat, ce qui rend la détection et l’éradication d’autant plus exigeantes.
Source: https://thehackernews.com/2026/08/gocaracal-malware-uses-ethereum-smart.html
