GoCaracal Malware Uses Ethereum Smart Contract to Fetch Replacement C2 Address

GoCaracal : Un nouveau framework malveillant utilisant la blockchain Ethereum

Le groupe de menace Dark Caracal a déployé GoCaracal, un framework malveillant basé sur Go, lors d’une intrusion visant une organisation de communication au Venezuela. Ce malware se distingue par sa capacité à récupérer dynamiquement une adresse de serveur de commande et de contrôle (C2) de secours via un smart contract Ethereum, permettant ainsi aux attaquants de modifier leur infrastructure sans redéployer de code.

Points clés :

• Nature du malware : Framework modulaire disponible en version « légère » (accès shell, exécution de payload) et « étendue » (vol de données, keylogging, SOCKS5, contrôle à distance).
• Technique de résilience : Utilisation de l’appel eth_getStorageAt vers un nœud JSON-RPC public pour interroger un smart contract Ethereum contenant une adresse C2 de remplacement.
• Vecteur d’attaque : Utilisation probable de campagnes de phishing basées sur des thématiques financières et fiscales (fichiers SVG malveillants).
• Attribution : Lien établi avec le groupe Dark Caracal en raison de l’utilisation conjointe du malware Bandook, de la préférence pour des cibles latino-américaines et de similitudes dans l’infrastructure de serveurs.

Vulnérabilités :

• Aucune CVE spécifique n’est mentionnée, l’attaque repose principalement sur l’ingénierie sociale (phishing) et l’exécution de charges utiles malveillantes sur les hôtes compromis.

Recommandations :

• Détection proactive : Utiliser les règles YARA et les indicateurs de compromission (IoCs) fournis par Arctic Wolf pour scanner les réseaux à la recherche de communications anormales.
• Surveillance réseau : Surveiller les requêtes sortantes vers des nœuds JSON-RPC publics Ethereum, qui peuvent être le signe d’une tentative de récupération d’adresse C2 par un malware.
• Renforcement de la sécurité des endpoints : Bloquer l’exécution de fichiers suspects (notamment les SVG potentiellement malveillants) et restreindre les capacités de PowerShell ou de scripts sur les postes de travail.
• Hygiène e-mail : Sensibiliser les utilisateurs aux campagnes de phishing liées à des documents financiers et fiscaux, particulièrement dans les régions visées par Dark Caracal (Amérique latine).

Source