Dark Caracal ajoute GoCaracal à son arsenal d'espionnage

La découverte au Venezuela et le nouveau framework

À la mi-2026, lors d'une intrusion ciblée au Venezuela, les chercheurs d'Arctic Wolf ont identifié un framework malveillant jusqu'alors inconnu, suivi sous le nom de GoCaracal. L'activité est attribuée à Dark Caracal, groupe de cyberespionnage lié à la General Directorate of General Security (GDGS) du Liban.

L'analyse d'environ 250 échantillons a permis d'isoler deux versions distinctes du malware. L'une est un implant léger destiné à l'accès initial et au téléchargement de charges utiles supplémentaires. L'autre est une version plus étendue, conçue pour la collecte de renseignements et le maintien d'un contrôle interactif sur les systèmes compromis.

L'intrusion de juin 2026 au sein d'une organisation de communications vénézuélienne a révélé la présence de GoCaracal aux côtés d'une version actualisée de Bandook, un RAT Windows commercial utilisé depuis 2007. Arctic Wolf interprète cette observation comme une utilisation complémentaire : les deux outils coexistent sans que l'un ne remplace immédiatement l'autre.

Deux versions pour l'accès et le contrôle

Les deux variantes de GoCaracal répondent à des besoins opérationnels différents. La version légère gère l'accès initial : elle s'installe, profile l'hôte, communique de manière chiffrée avec le serveur de commande et de contrôle et télécharge des modules supplémentaires. C'est le premier maillon de la chaîne, conçu pour passer inaperçu.

La version étendue, quant à elle, implémente des fonctionnalités complètes de collecte de données : vol d'identifiants, keylogging, shell distant, exfiltration de fichiers. C'est un outil de renseignement à long terme, capable d'assurer la persistance et une interaction directe avec la machine infectée.

Le remplacement du précédent logiciel malveillant AsioGate – utilisé par le passé pour l'accès initial et les activités post-compromission – par GoCaracal indique une rotation des outils. AsioGate n'est plus le vecteur principal : ses fonctions ont été absorbées par le nouveau framework, qui offre une plus grande modularité et des capacités d'évasion.

Ethereum comme canal de repli

La caractéristique la plus distinctive de la version étendue de GoCaracal est l'utilisation d'une base de données publique reposant sur la blockchain Ethereum comme source de secours pour localiser les serveurs de commande et de contrôle.

Si l'infrastructure C2 principale devient injoignable, le malware interroge la blockchain et récupère les adresses alternatives. Ce mécanisme rend le démantèlement beaucoup plus difficile : même en saisissant les domaines principaux, les attaquants conservent un canal de restauration décentralisé et public.

Le recours à Ethereum témoigne d'une sophistication croissante. Ce n'est pas une nouveauté absolue dans le paysage des malwares, mais pour un groupe d'espionnage étatique, cela représente un bond en matière de résilience opérationnelle. Les tentatives de neutralisation de l'infrastructure C2 deviennent moins efficaces lorsque le point de repli est une blockchain immuable.

L'infrastructure et les appâts en espagnol

L'infrastructure associée à l'intrusion de juin 2026 fait partie d'un ensemble plus large de domaines en espagnol sur le thème des documents. Ces domaines sont utilisés pour distribuer des fichiers SVG malveillants et des charges utiles ultérieures.

Les fichiers SVG ne sont pas de simples images : ils peuvent contenir des scripts qui, une fois ouverts, téléchargent et exécutent du code malveillant. Le choix d'appâts documentaires – factures, formulaires, documents financiers – vise à convaincre l'utilisateur d'ouvrir la pièce jointe ou de visiter le site contrôlé.

La télémétrie recueillie par Arctic Wolf indique un ciblage possible au Brésil, en Équateur, en Uruguay, au Salvador, en Colombie et au Chili, en plus du Venezuela déjà confirmé. L'attribution à Dark Caracal n'est toutefois pas uniforme pour l'ensemble de l'activité observée : certains signaux pourraient appartenir à des campagnes connexes sans être rattachés avec certitude au groupe.

Dark Caracal : qui est ce groupe

Dark Caracal est actif au moins depuis 2012. Ses campagnes ont visé du personnel militaire et gouvernemental, des entreprises, des journalistes, des activistes, des avocats, des professionnels de santé et des établissements d'enseignement. Les tactiques connues comprennent l'hameçonnage, des sites web malveillants et des applications mobiles trojanisées, avec vol de documents, de communications, d'identifiants, de photos et d'autres données sensibles.

L'arsenal du groupe comprend Pallas, une boîte à outils développée sur mesure pour le vol de données depuis des appareils Android, et une version personnalisée de Bandook, RAT Windows commercial utilisé par plusieurs acteurs depuis 2007. La combinaison d'outils mobiles et de bureau permet de couvrir un large éventail d'appareils.

L'ajout de GoCaracal – activement développé au cours de l'année 2026 – consolide la capacité opérationnelle. Le malware est passé de fonctions relativement basiques de communication chiffrée, de profilage de l'hôte et d'exécution de code à un framework modulaire avec des composants réutilisables, des shells interactifs et des techniques pour échapper aux antivirus et autres mécanismes de sécurité.

Impact et actions de défense

La gravité de l'activité n'est pas quantifiée par un score CVSS, car il ne s'agit pas d'une vulnérabilité unique mais d'un framework malveillant pour l'espionnage à long terme. L'impact opérationnel pour les organisations ciblées est élevé : établir et maintenir un point d'ancrage persistant et non détecté permet la collecte silencieuse de renseignements sur les personnes, les opérations et les relations.

Les données exfiltrées peuvent inclure des documents confidentiels, des communications internes, des identifiants de connexion, des enregistrements de frappe (keylogs) et des contenus provenant d'appareils Android via Pallas. Le contrôle à distance interactif permet aux attaquants de se déplacer latéralement et de préparer de futures actions.

Arctic Wolf a diffusé des indicateurs de compromission et des informations de détection. Les organisations peuvent utiliser ces IOC pour des activités de détection et de threat hunting : rechercher dans les journaux la présence des domaines, des empreintes (hash) des échantillons ou des particularités réseau associées à GoCaracal, Bandook et Pallas.

La source ne décrit pas d'autres mesures d'atténuation techniques détaillées. Le principe de défense en profondeur reste valable : segmentation du réseau, surveillance des terminaux, contrôle des processus suspects et formation des utilisateurs aux risques liés aux pièces jointes SVG et aux appâts documentaires en espagnol.