Dark Caracal erweitert sein Spionagearsenal um GoCaracal

Die Entdeckung in Venezuela und das neue Framework

Mitte 2026 identifizierten Forscher von Arctic Wolf bei einem gezielten Eindringen in Venezuela ein zuvor unbekanntes Malware-Framework, das als GoCaracal erfasst wird. Die Aktivität wird Dark Caracal zugeschrieben, einer Cyberspionage-Gruppe, die mit der General Directorate of General Security (GDGS) des Libanon in Verbindung steht.

Die Analyse von rund 250 Proben ermöglichte die Isolierung zweier unterschiedlicher Versionen der Malware. Eine ist ein schlanker Implantat für den Erstzugriff und das Herunterladen zusätzlicher Payloads. Die andere ist eine umfangreichere Build, die auf die Sammlung von Informationen und die Aufrechterhaltung einer interaktiven Kontrolle über kompromittierte Systeme ausgelegt ist.

Das Eindringen im Juni 2026 bei einer venezolanischen Kommunikationsorganisation offenbarte GoCaracal zusammen mit einer aktualisierten Version von Bandook, einem kommerziellen Windows-RAT, das seit 2007 im Einsatz ist. Arctic Wolf interpretiert dies als ergänzende Nutzung: Die beiden Werkzeuge koexistieren, ohne dass eines das andere sofort ersetzt.

Zwei Versionen für Zugriff und Kontrolle

Die beiden Varianten von GoCaracal erfüllen unterschiedliche operative Anforderungen. Die leichte Version übernimmt den Erstzugriff: Sie installiert sich, profiliert den Host, kommuniziert verschlüsselt mit dem Command-and-Control-Server und lädt zusätzliche Module herunter. Sie ist das erste Glied der Kette und darauf ausgelegt, unentdeckt zu bleiben.

Die erweiterte Version implementiert dagegen vollständige Funktionen zur Datensammlung: Diebstahl von Zugangsdaten, Keylogging, Remote Shell und Dateiexfiltration. Es handelt sich um ein langfristiges Intelligence-Werkzeug, das Persistenz und direkte Interaktion mit dem infizierten Rechner gewährleisten kann.

Die Ablösung der früheren Malware AsioGate – die zuvor für Erstzugriff und Post-Compromise-Aktivitäten genutzt wurde – durch GoCaracal deutet auf eine Rotation der Werkzeuge hin. AsioGate ist nicht länger der Hauptvektor: Seine Funktionen wurden vom neuen Framework übernommen, das eine größere Modularität und Umgehungsfähigkeit bietet.

Ethereum als Fallback-Kanal

Das markanteste Merkmal der erweiterten GoCaracal-Version ist die Nutzung einer öffentlichen, auf der Ethereum-Blockchain basierenden Datenbank als Backup-Quelle zur Ermittlung von Command-and-Control-Servern.

Wird die primäre C2-Infrastruktur unerreichbar, fragt die Malware die Blockchain ab und ruft alternative Adressen ab. Dieser Mechanismus erschwert das Takedown erheblich: Selbst bei Beschlagnahmung der Hauptdomänen behalten die Angreifer einen dezentralen und öffentlichen Wiederherstellungskanal.

Der Rückgriff auf Ethereum signalisiert eine wachsende Raffinesse. Es ist keine absolute Neuheit in der Malware-Landschaft, doch für eine staatliche Spionagegruppe stellt es einen Sprung in der operativen Resilienz dar. Versuche, die C2-Infrastruktur zu zerschlagen, werden weniger wirksam, wenn der Ausweichpunkt eine unveränderliche Blockchain ist.

Die Infrastruktur und spanischsprachige Köder

Die mit dem Eindringen von Juni 2026 verbundene Infrastruktur gehört zu einem größeren Cluster von spanischsprachigen Domains mit Dokumenten-Thematik. Diese Domains werden verwendet, um schädliche SVG-Dateien und nachgelagerte Payloads zu verbreiten.

SVGs sind keine einfachen Bilder: Sie können Skripte enthalten, die nach dem Öffnen bösartigen Code herunterladen und ausführen. Die Wahl dokumentenbasierter Köder – Rechnungen, Formulare, Finanzdokumente – zielt darauf ab, den Benutzer zum Öffnen der angehängten Datei oder zum Besuch der kontrollierten Website zu bewegen.

Die von Arctic Wolf gesammelten Telemetriedaten deuten auf ein mögliches Targeting in Brasilien, Ecuador, Uruguay, El Salvador, Kolumbien und Chile hin, zusätzlich zum bereits bestätigten Venezuela. Die Zuordnung zu Dark Caracal ist jedoch nicht für alle beobachteten Aktivitäten einheitlich: Einige Signale könnten zu verwandten Kampagnen gehören, die sich nicht eindeutig der Gruppe zuordnen lassen.

Dark Caracal: Wer ist die Gruppe?

Dark Caracal ist mindestens seit 2012 aktiv. Seine Kampagnen richteten sich gegen Militär- und Regierungspersonal, Unternehmen, Journalisten, Aktivisten, Anwälte, medizinisches Fachpersonal und Bildungseinrichtungen. Zu den bekannten Taktiken gehören Phishing, schädliche Websites und trojanisierte mobile Anwendungen mit Diebstahl von Dokumenten, Kommunikation, Zugangsdaten, Fotos und anderen sensiblen Daten.

Das Arsenal der Gruppe umfasst Pallas, ein maßgeschneidertes Toolkit zum Datendiebstahl von Android-Geräten, und eine angepasste Version von Bandook, einem kommerziellen Windows-RAT, das seit 2007 von mehreren Akteuren genutzt wird. Die Kombination aus mobilen und Desktop-Werkzeugen ermöglicht die Abdeckung eines breiten Gerätespektrums.

Die Hinzufügung von GoCaracal – das im Laufe des Jahres 2026 aktiv weiterentwickelt wurde – festigt die operative Fähigkeit. Die Malware hat sich von relativ einfachen Funktionen wie verschlüsselter Kommunikation, Host-Profiling und Codeausführung zu einem modularen Framework mit wiederverwendbaren Komponenten, interaktiven Shells und Techniken zur Umgehung von Antiviren- und anderen Sicherheitsmechanismen entwickelt.

Auswirkungen und Verteidigungsmaßnahmen

Die Schwere der Aktivität wird nicht durch einen CVSS-Score quantifiziert, da es sich nicht um eine einzelne Schwachstelle, sondern um ein Malware-Framework für langfristige Spionage handelt. Die operativen Auswirkungen für betroffene Organisationen sind hoch: Die Etablierung und Aufrechterhaltung eines persistenten und unentdeckten Zugangspunkts ermöglicht die stille Sammlung von Informationen über Personen, Abläufe und Beziehungen.

Die exfiltrierten Daten können vertrauliche Dokumente, interne Kommunikation, Zugangsdaten, Keylogs und Inhalte von Android-Geräten über Pallas umfassen. Die interaktive Fernsteuerung erlaubt es den Angreifern, sich lateral zu bewegen und zukünftige Aktionen vorzubereiten.

Arctic Wolf hat Kompromittierungsindikatoren (IOCs) und Erkennungsinformationen veröffentlicht. Organisationen können diese IOCs für Detection- und Threat-Hunting-Aktivitäten nutzen: Sie suchen in Logs nach den mit GoCaracal, Bandook und Pallas verbundenen Domains, Sample-Hashes oder Netzwerkmerkmalen.

Die Quelle beschreibt keine weiteren detaillierten technischen Gegenmaßnahmen. Das Prinzip der Defense-in-Depth bleibt gültig: Netzwerksegmentierung, Endpoint-Überwachung, Kontrolle verdächtiger Prozesse und Benutzerschulung zu den Risiken von SVG-Anhängen und spanischsprachigen Dokumenten-Ködern.