Dark Caracal: Evolución con GoCaracal y C2 Respaldo en Ethereum (2026)

De CiberWiki

Nombres Alternativos / Aliases

  • Dark Caracal (Lookout)
  • ATK 27 (Thales)
  • TAG-CT3 (Recorded Future)
  • G0070 (MITRE)
  • GoCaracal Framework (Por el nuevo malware)
  • Bandook RAT (Herramienta principal histórica)
  • Poco RAT (Transición hacia 2024)
  • Operation Manul (Campaña de 2015)

Fecha de Detección / Actividad

  • Primeras actividades documentadas: Desde al menos 2012
  • Identificación pública: Enero de 2018 (Lookout y EFF)
  • Campaña de Poco RAT: 2023-2024 (transición desde Bandook)
  • Período de desarrollo de GoCaracal: Enero - julio de 2026
  • Intrusión documentada (Venezuela) : Junio de 2026
  • Muestras analizadas de GoCaracal: 249 (enero - julio 2026)
  • Fecha del informe de Arctic Wolf: 26 de agosto de 2026
  • Estado: Activa (evolución continua de herramientas e infraestructura)

Actor de Amenaza (Atribución)

Característica Detalle
Nombre del Actor Dark Caracal (APT vinculado al estado libanés)
Vínculo Gubernamental Alto (Asociado con la Dirección General de Seguridad General de Líbano - GDGS)
  • ☑ Tipo de Actor | Ciberespionaje / Estado-nación | | Sofisticación | ALTA. El actor demuestra:
    • Operación continua desde al menos 2012
    • Capacidad de evolución de herramientas (Bandook → Poco RAT → GoCaracal)
    • Uso de blockchain para resiliencia de C2
    • Infraestructura compartimentada y segmentada
    • Enfoque regional en América Latina con objetivos globales | | Motivación | Ciberespionaje (robo de datos, inteligencia) | | Objetivos históricos | Gobiernos, militares, activistas, periodistas, empresas, abogados, instituciones educativas en más de 21 países
  • ☑ Vínculo con Operation Manul | Opera desde el mismo edificio en Beirut que Operation Manul
  • ☑ Distribución de malware | Bandook es de uso exclusivo de Dark Caracal

Resumen Ejecutivo

Dark Caracal, el grupo de ciberespionaje vinculado a la Dirección General de Seguridad General de Líbano (GDGS), ha modernizado su arsenal con un nuevo marco de malware basado en Go llamado GoCaracal . En junio de 2026, el grupo fue detectado utilizando esta nueva herramienta en una intrusión contra una organización de comunicaciones en Venezuela, manteniendo su enfoque regional en América Latina mientras introduce capacidades técnicas avanzadas.

Descubrimientos clave

Descubrimiento Detalle
Nuevo malware GoCaracal (marco modular en Go)
  • ☑ Período de desarrollo | Enero - julio de 2026 (249 muestras analizadas)
  • ☑ Dos perfiles operativos | Ligero (acceso inicial) y Extendido (recolección de inteligencia)
  • ☑ C2 de respaldo | Ethereum smart contract como fuente alternativa de direcciones C2
  • ☑ Malware adicional | Bandook actualizado (82 comandos) desplegado junto a GoCaracal
  • ☑ Vector de entrega | SVG maliciosos + acortadores de URL + temáticas financieras en español
  • ☑ Región objetivo | Venezuela (confirmado), Brasil, Chile, Colombia, Ecuador, El Salvador, Uruguay
  • ☑ Infraestructura | AEZA Group (C2 de GoCaracal); AlexHost (C2 de Bandook)
  • ☑ Atribución | Confianza media de Arctic Wolf Labs

Evolución del marco GoCaracal

Fase Período Características
Fundación Enero 2026 Comunicaciones cifradas, ejecución de código básica
Modularización Febrero - abril 2026 Reorganización en componentes reutilizables; shell interactivo
Expansión de capacidades Mayo - junio 2026 Funcionalidad post-compromiso completa; ambos perfiles en uso
Resiliencia operacional Junio - julio 2026 Fallback C2 en Ethereum; mantenimiento de ambos perfiles

La innovación: Ethereum como C2 de respaldo

"Ethereum does not carry the malware's entire command channel. Instead, GoCaracal uses it as a backup source for a new C2 address. This lets the attackers change the server the malware contacts without releasing a new version."

GoCaracal utiliza contratos inteligentes en Ethereum como mecanismo de respaldo para obtener direcciones C2 alternativas :

  1. El malware intenta comunicarse con su C2 principal
  2. Tras múltiples fallos, consulta un contrato inteligente en Ethereum
  3. Lee un valor almacenado en el contrato (una dirección C2)
  4. Si es válida, actualiza su configuración en memoria y reintenta

El contrato inteligente BulletproofC2 fue implementado por el actor y verificado operacional (los registros muestran cambios a direcciones IP públicas). Esto permite a los operadores actualizar las direcciones C2 sin redeployar el malware.

Comparación con herramientas anteriores

Herramienta Período de uso Características
Bandook 2007-2023 ~120 comandos, Delphi, firmado con certificados Certum
Poco RAT 2023-2024 ~355 muestras, infraestructura compartida con Bandook
GoCaracal 2026 - presente Go, 249 muestras, Ethereum fallback, dos perfiles

Vector de Ataque / Métodos de Distribución

Cadena de infección de GoCaracal

Fase Descripción
1. Phishing Correos con temática financiera/fiscal en español
  • ☑ 2. SVG malicioso | Archivo SVG con contenido que redirige a través de acortadores de URL
  • ☑ 3. Redirección | Acortador de URL → intermediario → getpdfdigital[.]cloud
  • ☑ 4. Descarga | 7-Zip con tf-oficina004a9.exe (GoCaracal ligero)
  • ☑ 5. Despliegue | GoCaracal ligero establece acceso → descarga cargador Delphi → despliega Bandook y GoCaracal extendido

Perfiles de GoCaracal

Perfil Propósito Capacidades clave
Ligero Establecer acceso y entregar herramientas Perfilado de host, C2 cifrado, shell remoto, descarga/ejecución de payloads, inyección de shellcode
Extendido Mantener control y recolectar inteligencia Gestión de archivos, robo de credenciales de navegadores, keylogging, proxy SOCKS5, WebRTC para escritorio remoto, persistencia, fallback Ethereum

"The lightweight and extended profiles allow an operator to match capability to operational needs. A smaller implant can establish a foothold and deliver additional payloads, while the extended build supports sustained access, credential collection, covert interaction, and intelligence gathering."

Mejoras en Bandook (junio de 2026)

El Bandook desplegado junto a GoCaracal muestra cambios anti-análisis :

Cambio Propósito
Identificadores de comandos aleatorios Reemplazo de @0001-@0136 por cadenas aleatorias
Nombres de plugins ofuscados Etiquetas genéricas en lugar de nombres descriptivos
82 manejadores de comandos Versión reducida (antes ~120), probablemente adaptada para operar junto a GoCaracal

Infraestructura segmentada

Componente Proveedor Propósito
C2 de GoCaracal (23/24 IPs) AEZA Group Comando y control del nuevo malware
C2 de Bandook AlexHost Comando y control de la herramienta heredada
Infraestructura de entrega Múltiples dominios temáticos en español getpdfdigital[.]cloud, visualizarpdf[.]online, contabilidad[.]icu

"This separation may be intended to limit the effect of infrastructure disruption affecting one malware family, although it could also reflect different infrastructure acquisition or management practices."

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK) Técnica / Subtécnica Descripción / Implementación
Initial Access (TA0001) Phishing (T1566) Correos con temática financiera en español
Initial Access (TA0001) Drive-by Compromise (T1189) SVG malicioso + acortadores de URL
Execution (TA0002) Command and Scripting Interpreter (T1059) PowerShell, Go, Delphi
Defense Evasion (TA0005) Obfuscated Files or Information (T1027) Ofuscación de nombres de plugins y comandos en Bandook
Defense Evasion (TA0005) Masquerading (T1036) Documentos temáticos financieros
Defense Evasion (TA0005) Code Signing (T1116) Firmas digitales en versiones anteriores (Certum)
Credential Access (TA0006) Credentials from Web Browsers (T1555.003) Robo de cookies y bases de datos de Chrome, Brave, Firefox
Collection (TA0009) Keylogging (T1056.001) Registro de pulsaciones de teclas
Collection (TA0009) Screen Capture (T1113) Captura de pantalla
Collection (TA0009) Data from Local System (T1005) Recolección de archivos y documentos
Command and Control (TA0011) Application Layer Protocol: Web Protocols (T1071.001) C2 cifrado AES-GCM
Command and Control (TA0011) Ethereum Smart Contract Fallback Respaldo de C2 vía blockchain
Command and Control (TA0011) Proxy: SOCKS5 (T1090) Tunelización de tráfico a través del host comprometido
Exfiltration (TA0010) Exfiltration Over Web Service (T1567) Transferencia de datos robados
Impact (TA0040) Data Manipulation (T1565) Robo de información de inteligencia

Víctimas y Sectores Afectados

Categoría Datos
País confirmado Venezuela (intrusión de junio de 2026)
  • ☑ Países con actividad relacionada | Brasil, Ecuador, Chile, Colombia, El Salvador, Uruguay
  • ☑ Países históricos | Singapur, Chipre, Chile, Italia, EE.UU., Turquía, Suiza, Indonesia, Alemania, China, Francia, India, Jordania, Líbano, Nepal, Países Bajos, Pakistán, Filipinas, Catar, Rusia, Arabia Saudita, Corea del Sur, Siria, Tailandia, Vietnam
  • ☑ Sectores históricos | Gobierno, defensa, finanzas, energía, alimentación, salud, educación, TI, legal, medios, servicios públicos, activistas, periodistas
  • ☑ Organización objetivo (2026) | Organización de comunicaciones en Venezuela

Distribución geográfica histórica (2018)

Continente Países
América EE.UU., Venezuela, Chile, Canadá
Europa Alemania, Francia, Italia, Suiza, Países Bajos, Rusia, Reino Unido
Asia China, India, Pakistán, Filipinas, Corea del Sur, Vietnam, Tailandia, Jordania, Líbano, Siria, Qatar, Nepal, Arabia Saudita
Oceanía (No documentado)

Impacto y Riesgo

Categoría Nivel Descripción
Evolución de herramientas ALTA GoCaracal representa una modernización significativa del arsenal del grupo
Capacidad de evasión MUY ALTA Ethereum fallback + ofuscación de Bandook + SVG maliciosos
Resiliencia de C2 MUY ALTA Blockchain hace difícil desmantelar la infraestructura de respaldo
Detección BAJA Nuevas herramientas, ofuscación, tráfico cifrado
Enfoque regional ALTO Actividad sostenida en América Latina
Alcance global ALTO Histórico de operaciones en 21+ países

Consecuencias para las víctimas

Consecuencia Gravedad Detalle
Robo de credenciales Crítica Navegadores comprometidos, credenciales de aplicaciones
Keylogging Crítica Captura de pulsaciones de teclas y contraseñas
Acceso remoto persistente Crítica GoCaracal permite control total del sistema
Exfiltración de documentos Crítica Archivos sensibles de la organización
Escritorio remoto oculto Crítica WebRTC para visualización de escritorio en tiempo real
Proxy SOCKS5 Alta Tunelización de tráfico malicioso a través de la víctima

El valor del fallback Ethereum

"Public RPC services provide multiple routes to the same on-chain data, increasing the difficulty of disrupting the fallback through a single infrastructure takedown."

Detección y Respuesta

Reglas YARA (Arctic Wolf)

yara 

rule targeted_DarkCaracal_GoCaracal_Lightweight_RAT 
{
    meta:
        id = "6e5e3b86-5ea6-499b-b418-cacd57254978"      
        version = "1.0"
        description = "Detects a new Dark Caracal Golang toolkit (lightweight version) used in a campaign targeting LATAM"
        author = "Arctic Wolf"
        creation_date = "2026-07-13"
        hash = "c9da1b08a39491dfdbede6ff4c1a2d383f57cb29e2d3532aee08d6e0a5c1dda6"
        classification = "TLP:CLEAR"

  strings:
    $s1 = "main.cleanupShell"
    $s2 = "main.handleConnection"
    $s3 = "main.detectAntivirus"
    $s4 = "main.saveFile"
    $s5 = "main.openUrl"
    $s6 = "main.smartSleep"
    $s7 = "main.runModule"
    $s8 = "main.InjectShellcode"
    $s9 = "main.injectShellcodeWoW64"
    $s10 = "main.handlePipeClient"
    $s11 = "insensate"
    $s12 = "readSecurePacket"
    $s13 = "main.loadAPIs"
    $s14 = "SendSecurePacket"
    $s15 = "getRawOSVersion"
    $s16 = "RPCFallback"
    $s17 = "main.AntivirusProduct"
    $s18 = "main.lastInputInfo" 

  condition:
    5 of ($s*)
}

Recomendaciones para organizaciones

Acción Prioridad Descripción
Monitorear SVG maliciosos CRÍTICA Archivos SVG con contenido de redirección a acortadores de URL
Bloquear dominios de entrega CRÍTICA getpdfdigital[.]cloud, visualizarpdf[.]online, contabilidad[.]icu
Monitorear tráfico C2 CRÍTICA IPs de AEZA Group y AlexHost (ver IoCs)
Detectar GoCaracal ALTA Buscar cadenas de la regla YARA en procesos de Go
Monitorear Bandook ALTA Identificadores de comandos aleatorios (no secuenciales)
Auditar uso de Ethereum MEDIA Tráfico a endpoints JSON-RPC de Ethereum (fallback C2)
Segmentación de red ALTA Limitar el movimiento lateral
Educación de usuarios ALTA Capacitación sobre documentos financieros en español y SVG maliciosos

Contexto Más Amplio: Evolución de Dark Caracal (2012-2026)

Período Herramientas principales Características
2012-2017 Bandook, CrossRAT, FinFisher, Pallas Operaciones globales, 21+ países
  • ☑ 2018 | Identificación pública por Lookout y EFF | Revelación del vínculo con GDGS de Líbano
  • ☑ 2020 | Bandook firmado digitalmente | Certificados de Certum, 11 comandos (slimmed)
  • ☑ 2023-2024 | Poco RAT + Bandook | Transición desde Bandook; ~483 muestras de Poco RAT
  • ☑ 2026 | GoCaracal + Bandook actualizado | Ethereum fallback, dos perfiles, enfoque LATAM

Comparación de muestras de malware

Malware Muestras (período) Comandos Lenguaje
Bandook (2020) ~355 (feb 2023 - sep 2024) ~120 (original), 11 (slim) Delphi
  • ☑ Poco RAT | 483 (jun 2024 - feb 2025) | No especificado | No especificado
  • ☑ GoCaracal | 249 (ene - jul 2026) | 34 (extendido) | Go

Opiniones de Expertos

"The findings show Dark Caracal is preserving familiar targeting and delivery practices while modernizing their malware and infrastructure. Dark Caracal's continued use of established tooling such as Bandook, combined with the introduction of GoCaracal and its separate C2 footprint, suggests an expanding and increasingly compartmentalized toolkit rather than a wholesale change in operational strategy." — Arctic Wolf Labs

"Ethereum does not carry the malware's entire command channel. Instead, GoCaracal uses it as a backup source for a new C2 address. This lets the attackers change the server the malware contacts without releasing a new version." — Arctic Wolf Labs

"Analysis of 249 related samples reveals GoCaracal's evolution from January to July 2026, from basic access functionality to a mature post-compromise framework." — Arctic Wolf Labs

"The functional overlap suggests that GoCaracal is augmenting the group's established malware toolkit and could reduce its future reliance on Bandook. Current evidence, however, shows the two malware families operating in parallel and does not yet indicate that GoCaracal is replacing Bandook." — Arctic Wolf Labs

Referencias y Fuentes

  1. Arctic Wolf Labs. (2026, 26 de agosto). Dark Caracal Reloaded: New Malware, Same Hunting Grounds.
  2. Positive Technologies (PT ESC). (2025). The evolution of Dark Caracal tools: analysis of a campaign featuring Poco RAT.
  3. Security Affairs. (2026, 27 de agosto). Dark Caracal Deploys New Go Malware With Ethereum-Based C2 Fallback.
  4. iThome. (2026, 30 de agosto). 新型惡意軟體GoCaracal現蹤，以太坊智慧合約成C2位址備援.
  5. Global Security Mag. (2026, 27 de agosto). Entdeckung der bisher unbekannten GoCaracal-Malware.
  6. Mallory. (2026, 26 de agosto). Dark Caracal Targets Venezuelan Communications Organization With Ethereum-Based C2.
  7. Threat Group Cards (ETDA). (2025). Dark Caracal APT Group Profile.
  8. Lookout & EFF. (2018, enero). Dark Caracal Campaign Report.
  9. Check Point Research. (2020, noviembre). Bandook: Digitally Signed and Delivered.

Historial de Revisiones

Fecha Versión Autor Cambios Realizados
2026-08-31 1.0 Fernando Vargas Hincapié Creación inicial basada en análisis de Arctic Wolf Labs y fuentes complementarias

Indicadores de Compromiso (IOCs)

Hashes de malware

SHA-256 Nombre Tipo
1E499C815146124C4A6D2B48C99068B980AD74E1A2CFD16013F8D75A9425A0CA TF-OFICINA004A9.exe GoCaracal (variante ligera)
77F7AD29F4A8037EE5F38D3D87FB91CFD97CB8F7FA7883EDF3FCE506DF5200C0 TF-OFICINA004A9.exe GoCaracal (variante ligera)
8C03D072DF2E1BF14B0C00A8AB99834138C8B69F301849BF09CB44394E916015 VRJDL_21812.exe GoCaracal (variante extendida)
0A6DA70548F14834ACB8960689A589B48FF422F8385AE445A281AAB77045FE22 7676230602QQ.exe Cargador Delphi
a2cdf2fe741de4b13ad2298b387a6c32da4a94da180ae75bf8547386aee7376b N/A Bandook (descifrado)

Dominios de entrega

Dominio Propósito
getpdfdigital[.]cloud Infraestructura de entrega
getpdf[.]digital Infraestructura de entrega
visualizarpdf[.]online Infraestructura de entrega
contabilidad[.]icu Infraestructura de entrega
soportedigital[.]cloud Infraestructura de entrega
documentodigital[.]cloud Infraestructura de entrega
gestionadocs[.]me Infraestructura de entrega y panel C2

IPs de C2 (GoCaracal)

IP Propósito
109[.]120[.]187[.]217 C2 de GoCaracal
109[.]172[.]95[.]121 C2 de GoCaracal
138[.]124[.]112[.]213 C2 de GoCaracal
138[.]124[.]14[.]130 C2 de GoCaracal
176[.]124[.]220[.]153 C2 de GoCaracal
185[.]125[.]101[.]181 C2 de GoCaracal
185[.]96[.]80[.]110 C2 de GoCaracal
185[.]96[.]80[.]54 C2 de GoCaracal
193[.]233[.]245[.]52 C2 de GoCaracal
62[.]60[.]237[.]22 C2 de GoCaracal
77[.]110[.]104[.]98 C2 de GoCaracal
77[.]110[.]105[.]244 C2 de GoCaracal
77[.]110[.]105[.]56 C2 de GoCaracal
77[.]110[.]105[.]59 C2 de GoCaracal
77[.]110[.]98[.]66 C2 de GoCaracal
80[.]71[.]224[.]30 C2 de GoCaracal
82[.]117[.]87[.]138 C2 de GoCaracal
82[.]117[.]87[.]192 C2 de GoCaracal
85[.]192[.]30[.]211 C2 de GoCaracal
79[.]137[.]192[.]38 C2 de GoCaracal
193[.]233[.]245[.]0 C2 de GoCaracal
79[.]137[.]192[.]38 C2 de GoCaracal
193[.]233[.]245[.]45 C2 de GoCaracal
46[.]226[.]162[.]68 C2 de GoCaracal
45[.]152[.]198[.]108 C2 de GoCaracal

IPs de C2 (Bandook)

IP Propósito
91[.]208[.]197[.]80 C2 de Bandook
91[.]208[.]184[.]45 C2 de Bandook
91[.]208[.]206[.]88 C2 de Bandook
91[.]208[.]184[.]130 C2 de Bandook
176[.]123[.]1[.]174 C2 de Bandook

Contratos de Ethereum (Fallback C2)

Dirección Propósito
0x03D605f13A74Bfb6149078122FcF62BD6d8799d8 Contrato BulletproofC2 configurado; desplegado el 20 de mayo de 2026
0x04aB453494381E60171BE04Ea6BE6E7C44EafAfd Despliegue idéntico del contrato
0xD7635f31620772882a6712472a6278c53247Bc44 Despliegue idéntico del contrato
0xf165F26300BF65DFaC78BC9557326bDbB3C6d33C Despliegue idéntico del contrato
Billetera de despliegue 0x7D321FE277f8c25aaC14aF1BA3Fc34953242052F

Rutas de archivos

Ruta Propósito
%AppData%\Roaming\d30547514515\91ed375e.exe GoCaracal (variante persistente)
%AppData%\Roaming\e1d58f51c58a\5c0416e4.exe GoCaracal (variante persistente)

Comportamiento a monitorear

Categoría Comportamiento
Procesos Ejecutables de Go con cadenas main.cleanupShell, main.handleConnection, main.detectAntivirus
Archivos Archivos SVG que contienen acortadores de URL
Red Tráfico a IPs de AEZA Group o AlexHost
Red Solicitudes a endpoints JSON-RPC de Ethereum desde sistemas no relacionados con blockchain
Procesos Bandook con identificadores de comando aleatorios en lugar de secuenciales
Correos Documentos financieros o fiscales en español con adjuntos ZIP o SVG

Etiquetas / Categorías

dark-caracal-apt gocaracal-malware bandook-rat ethereum-c2-fallback blockchain-cyber-espionage venezuela-cyberattack latin-america-espionage lebanon-gdgs-apt go-malware-framework aezagroup-c2 alexhost-c2
Obtenido de «https://darfe.es/ciberwiki/index.php?title=Dark_Caracal:_Evolución_con_GoCaracal_y_C2_Respaldo_en_Ethereum_(2026)&oldid=3373»