Dark Caracal 部署新型 Go 恶意软件，配备基于以太坊的 C2 备用机制

Dark Caracal 使用 GoCaracal、升级版 Bandook 工具包以及以太坊备用机制实现弹性 C2 通信，将目标锁定委内瑞拉。
Dark Caracal 带着新恶意软件和相同的狩猎场卷土重来。Arctic Wolf Labs 研究人员将 2026 年 6 月针对委内瑞拉一家通信组织的入侵事件与这个与黎巴嫩有联系的间谍组织关联起来，并表示其部署了一个此前未记录的基于 Go 的框架（名为 GoCaracal）以及一个更新版的 Bandook 后门。
Dark Caracal 是一个与黎巴嫩安全总局相关的 APT 组织。在过去的活动中，它针对过新加坡、塞浦路斯、智利、意大利、美国、土耳其、瑞士、印度尼西亚和德国的实体。
"2026 年 6 月，Arctic Wolf Labs 调查了一起影响委内瑞拉一家通信组织的定向入侵事件。我们以中等置信度评估，该活动与 Dark Caracal 有关，这是一个与黎巴嫩安全总局（GDGS）相关的网络间谍组织，历史上曾以政府、企业、记者和活动人士为目标。"Arctic Wolf 发布的报告写道。"GoCaracal 支持源自共享架构的独立轻量级和扩展构建配置文件。在同一入侵中观察到了两者。"
对于关注该组织近期活动的人来说，其投递方式会感到熟悉。带有财务或税务诱饵的钓鱼电子邮件会投递武器化的 SVG 附件，通过 URL 缩短器将受害者重定向到攻击者控制的站点，这些站点提供真正的负载。
当收件人打开其中一个 SVG 文件时，嵌入的内容会将浏览器定向到一个缩短的 URL，该 URL 通过重定向器解析到 getpdfdigital[.]cloud——一个已知的攻击者站点，用于托管恶意负载。然后该站点会提供一个 7-Zip 存档，其中包含 Arctic Wolf 认定为 GoCaracal 框架一部分的轻量级 Go 植入程序。
"虽然 Arctic Wolf 未恢复与入侵相关的原始钓鱼电子邮件或 SVG 附件，但该工件的财务和税务主题文件名、该活动已确定的投递模式，以及发现与同一恶意托管站点通信的 100 多个相关 SVG 文件，支持了我们关于该文件是通过钓鱼投递的评估。"报告继续说道。
最初的植入程序并非最终目标。它建立立足点，然后拉取一个携带 Bandook 的 Delphi 加载器，以及一个功能更强大、具有更广泛入侵后功能的扩展版 GoCaracal 构建。
两个配置文件分工协作。轻量级构建处理主机信息收集、加密 C2、远程 shell、负载下载和执行以及 shellcode 注入。扩展构建增加了文件管理、浏览器凭据和 cookie 窃取、键盘记录、目标文件搜索、WebRTC 远程桌面、隐藏浏览器会话、SOCKS5 代理和持久化机制。
Arctic Wolf 追溯了 2026 年 1 月至 7 月的 249 个相关样本，并看到了清晰的发展轨迹。GoCaracal 最初是一个专注的访问植入程序，然后变得模块化，随后获得了广泛的入侵后能力，最后添加了基于以太坊的 C2 备用机制，同时保持两个配置文件同时运行。
"对 249 个相关样本的分析揭示了两个 GoCaracal 构建配置文件：一个旨在建立访问权限并投递额外负载的轻量级植入程序，以及一个旨在进行持续情报收集和交互控制的扩展构建。"报告指出。"扩展构建还支持以太坊智能合约备用机制，允许操作者无需重新部署恶意软件即可检索替换的命令与控制（C2）基础设施。"
该备用机制是最有趣的转折。扩展版 GoCaracal 配置可以在通常的 HOST 和 PORT 值之外包含一个以太坊智能合约地址。如果恶意软件在多次尝试后无法到达其主 C2，它会调用一个公共的以太坊 JSON-RPC 端点，从合约中读取存储的值，并在重试前更新其内存中的 C2 地址。
"一个扩展版 GoCaracal 变种使用以太坊智能合约作为替换 C2 地址的备用来源。"Arctic Wolf 表示。"区块链活动表明，该能力已得到测试和实际运用，而不仅仅是作为休眠代码包含在内。"
以太坊并不承载恶意软件的整个命令通道。相反，GoCaracal 将其用作新 C2 地址的备份来源。这使得攻击者无需发布新版本即可更改恶意软件联系的服务器。
Arctic Wolf 发现了一个名为 BulletproofC2 的自定义 Solidity 合约，它存储了一个可更改的 C2 地址。只有其所有者可以更新它。交易记录显示，攻击者将该地址更改为一个公共 IP，表明他们测试并使用了该系统。
同一个钱包还在以太坊的 Sepolia 测试网上部署了类似的合约，然后才将一些迁移到主网。这些合约包含公共和私有 IP 地址，表明攻击者先测试了该机制，然后才在行动中使用。
GoCaracal 并未取代 Bandook，至少目前还没有。Arctic Wolf 表示，这两个家族现在并行运行，GoCaracal 增强了该组织现有的工具包，并可能减少未来对 Bandook 的依赖，但当前证据并未显示完全替换。
2026 年 6 月的 Bandook 样本显示了刻意的反分析调整。诸如 @0001 到 @0136 的顺序命令标识符已被替换为随机字符串，插件导出名称也被通用标签混淆，在保留功能的同时削弱了基于旧命名约定的签名检测。
更广泛的活动看起来仍然像 Dark Caracal。Arctic Wolf 识别出七个相关的西班牙语文档主题域名，用于投递恶意 SVG 和下游负载，其中两个此前与该组织有关联，一个于 2026 年 7 月注册的新域名被观察到投递 GoCaracal。
基础设施是隔离的。从 GoCaracal 样本中提取的 24 个唯一 C2 地址中，有 23 个位于 AEZA Group 运营的网络上，而 Bandook C2 地址托管在 AlexHost 上——一个此前与 Dark Caracal 相关的提供商。这种分离可能限制了一个提供商被打击时的爆炸半径。
在地理上，重点仍集中在拉丁美洲。Arctic Wolf 看到了与巴西、厄瓜多尔、智利、哥伦比亚、萨尔瓦多和乌拉圭相关的工件和基础设施，并以中等置信度评估了更广泛的区域活动，同时继续绘制范围。
"综合来看，这些发现表明 Dark Caracal 在保留熟悉的瞄准和投递方式的同时，正在使其恶意软件和基础设施现代化。"报告总结道。"Dark Caracal 持续使用 Bandook 等既定工具，结合 GoCaracal 的引入及其独立的 C2 足迹，表明其工具包正在扩展且日益隔离，而非运营策略的全面改变。"