O grupo de cibercriminosos Dark Caracal retornou com uma nova ferramenta que permite aos atacantes manter a conexão mesmo quando defensores desativam seus servidores de comando e controle (C2). A descoberta, feita pela Arctic Wolf, revela um mecanismo sofisticado que utiliza contratos inteligentes na rede Ethereum para armazenar endereços de fallback, garantindo resiliência operacional contra takedowns de infraestrutura.
Descoberta e escopo da campanha
A investigação da Arctic Wolf identificou o uso do malware GoCaracal, um framework baseado em linguagem Go, operando em conjunto com o backdoor Bandook já conhecido. A campanha foi inicialmente vinculada a uma intrusão em uma organização de comunicações venezuelana em junho de 2026, mas artefatos relacionados foram encontrados também no Brasil, Equador, Chile, Colômbia, El Salvador e Uruguai. O escopo sugere um foco regional na América Latina, embora o alcance exato permaneça sob investigação.
Técnica de comunicação via Blockchain
Diferente dos esquemas tradicionais de C2 baseados em domínios ou IPs estáticos, o GoCaracal estendido foi projetado para consultar um serviço Ethereum quando não consegue alcançar seu servidor principal. Em vez de enviar comandos diretamente para a blockchain, o malware atua como um cliente que lê dados armazenados em um contrato inteligente chamado BulletproofC2. Esses dados contêm novos endereços de servidor, permitindo que o malware se reconecte sem necessidade de novo arquivo malicioso reaching the victim.
Os pesquisadores encontraram um contrato Solidity configurado com um endereço público, e atividades mostraram que o valor armazenado foi alterado através de transações blockchain. Implantações relacionadas apareceram primeiro na rede de testes Sepolia da Ethereum e depois na mainnet, indicando que o recurso de fallback evoluiu de código não utilizado para uma funcionalidade operacional real.
Vetor de ataque e phishing
A intrusão ainda depende de engenharia social familiar. Campanhas utilizam arquivos SVG armados que ocultam links encurtados, redirecionando as vítimas para sites de hospedagem de payloads. Os operadores fornecem um arquivo compactado que inicia um pequeno implante e abre caminho para ferramentas mais capazes. O carregador Delphi e os arquivos SVG são técnicas vistas anteriormente em campanhas maliciosas similares.
Em um exemplo de risco, ataques de phishing com SVG contêm conteúdo web ativo que pode parecer inofensivo, mas contém scripts maliciosos. O arquivo leve GoCaracal foca em ganhar uma posição inicial, perfilar o host e comunicar-se com operadores, enquanto a versão estendida pode buscar arquivos, coletar dados do navegador e digitação, criar um proxy e fornecer acesso remoto oculto.
Evidências e limites técnicos
A análise de 249 amostras revelou duas versões do malware: uma para acesso inicial e outra para vigilância e controle de longo prazo. O operador pode alterar o valor armazenado no contrato através de uma transação blockchain, e dispositivos infectados podem recuperá-lo através de múltiplos serviços. Isso torna menos provável que uma única apreensão de servidor ou remoção de domínio corte todos os vítimas.
Os indicadores de comprometimento (IoCs) incluem hashes SHA-256 específicos para as variantes GoCaracal e Bandook, além de domínios de infraestrutura de entrega e endereços IP associados à infraestrutura C2. Contratos Ethereum específicos também foram identificados, incluindo o endereço 0x03D605f13A74Bfb6149078122FcF62BD6d8799d8.
Impacto por setor e Brasil
Embora a intrusão confirmada tenha ocorrido na Venezuela, a presença de artefatos no Brasil indica que organizações brasileiras devem estar atentas. Setores financeiros e governamentais são alvos comuns desse grupo devido ao valor dos dados e à capacidade de espionagem prolongada. A utilização de arquivos SVG e anexos de email é particularmente eficaz contra usuários finais que não verificam metadados de segurança.
Medidas de mitigação recomendadas
Defensores devem tratar anexos SVG inesperados como conteúdo ativo, não imagens comuns, e revisar registros web, email e endpoint conjuntamente. Bloquear infraestrutura conhecida, observar arquivos incomuns e seguir sinais de acesso remoto podem ajudar a expor a cadeia cedo. Organizações devem procurar conexões repetidas falhas com servidor de controle seguidas por solicitações RPC Ethereum, que podem sinalizar uma tentativa de obter um destino de substituição.
A tomada de um servidor não necessariamente termina uma intrusão. Quando separadores separam sites de entrega, sistemas de controle de malware e caminhos de recuperação baseados em blockchain, defensores precisam interromper cada estágio enquanto monitoram tentativas de conexão subsequentes.
Perguntas frequentes
- O que é BulletproofC2? É um contrato inteligente Solidity usado como local de dead-drop para informações de configuração, permitindo que o malware recupere novos endereços C2.
- Como detectar essa ameaça? Monitorar tráfego de saída para redes Ethereum e padrões de requisição RPC incomuns em endpoints Windows.
- Qual o impacto no Brasil? Artefatos foram encontrados em sistemas brasileiros, sugerindo que a campanha pode ter atingido organizações locais.