GoCaracal dùng hợp đồng thông minh Ethereum để lấy địa chỉ C2 thay thế
"Arctic Wolf reported a previously undocumented Go-based malware framework, GoCaracal, used in a June 2026 intrusion against a communications organization in Venezuela and assessed with medium confidence to be linked to Dark Caracal. The malware provides remote shell, payload execution, keylogging, browser data theft, and SOCKS5 proxying; its extended profile can fetch a replacement C2 address from an Ethereum smart contract via a public JSON-RPC endpoint, allowing operators to change fallback infrastructure without shipping a new binary."
Đây là chiến dịch mã độc có khả năng ẩn giấu C2 dự phòng qua Ethereum smart contract, làm tăng độ bền vững của hạ tầng điều khiển. Cần chú ý keylogging, thu thập dữ liệu trình duyệt và các IoC đã công bố.
Nguy cơ ảnh hưởng đến tổ chức truyền thông và các mục tiêu tại Mỹ Latinh, có thể dẫn tới rò rỉ thông tin đăng nhập và gián đoạn vận hành. Doanh nghiệp nên tăng cường lọc email/phishing, giám sát RPC công khai và cập nhật quy trình săn tìm mối đe dọa.
Arctic Wolf cho biết đã phát hiện GoCaracal, một khung mã độc viết bằng Go chưa từng được ghi nhận trước đây, trong một vụ xâm nhập vào tháng 6/2026 nhằm vào một tổ chức truyền thông tại Venezuela. Nhóm nghiên cứu đánh giá với mức tin cậy trung bình rằng hoạt động này có liên quan đến Dark Caracal.
Theo phân tích, GoCaracal có hai cấu hình. Bản lightweight hỗ trợ remote shell, thực thi payload, tải và chèn shellcode, cùng kênh C2 mã hóa. Bản extended bổ sung keylogging, thu thập cookie và cơ sở dữ liệu đăng nhập trình duyệt, điều khiển remote desktop, tìm kiếm tệp mục tiêu và SOCKS5 proxying.
Điểm đáng chú ý là khi không kết nối được với máy chủ C2 chính, bản mở rộng sẽ gửi yêu cầu eth_getStorageAt tới một Ethereum JSON-RPC endpoint công khai để đọc địa chỉ C2 thay thế từ smart contract. Cơ chế này cho phép kẻ vận hành đổi địa chỉ dự phòng mà không cần phát hành binary mới.
Arctic Wolf đã công bố YARA rule và các IoC liên quan để hỗ trợ săn tìm mối đe dọa. Khuyến nghị đội ngũ an ninh rà soát lưu lượng tới RPC công khai, kiểm tra domain/IP và SHA-256 liên quan, đồng thời giám sát dấu hiệu phishing và tệp SVG bất thường trong chuỗi tấn công.