Dark Caracal aggiunge GoCaracal al suo arsenale di spionaggio

La scoperta in Venezuela e il nuovo framework

A metà 2026, durante un’intrusione mirata in Venezuela, i ricercatori di Arctic Wolf hanno identificato un framework malware precedentemente sconosciuto, tracciato come GoCaracal. L’attività è attribuita a Dark Caracal, gruppo di cyber spionaggio collegato alla General Directorate of General Security (GDGS) del Libano.

L’analisi di circa 250 campioni ha permesso di isolare due versioni distinte del malware. Una è un impianto leggero per l’accesso iniziale e il download di payload aggiuntivi. L’altra è una build più estesa, progettata per la raccolta di intelligence e per mantenere un controllo interattivo sui sistemi compromessi.

L’intrusione di giugno 2026 presso un’organizzazione di comunicazioni venezuelana ha rivelato la presenza di GoCaracal insieme a una versione aggiornata di Bandook, un RAT Windows commerciale in uso dal 2007. Arctic Wolf interpreta questo dato come un uso complementare: i due strumenti convivono senza che uno sostituisca immediatamente l’altro.

Due versioni per accesso e controllo

Le due varianti di GoCaracal rispondono a esigenze operative diverse. La versione leggera gestisce l’accesso iniziale: si installa, profila l’host, comunica in forma cifrata con il server di comando e controllo e scarica moduli aggiuntivi. È il primo anello della catena, pensato per passare inosservato.

La versione estesa, invece, implementa funzionalità complete di raccolta dati: furto di credenziali, keylogging, shell remota, esfiltrazione di file. È uno strumento di intelligence a lungo termine, capace di garantire persistenza e interazione diretta con la macchina infetta.

La sostituzione del precedente malware AsioGate – usato in passato per accesso iniziale e attività post-compromissione – con GoCaracal indica una rotazione degli strumenti. AsioGate non è più il vettore principale: le sue funzioni sono state assorbite dal nuovo framework, che offre maggiore modularità e capacità di elusione.

Ethereum come canale di fallback

La caratteristica più distintiva della versione estesa di GoCaracal è l’uso di un database pubblico basato su blockchain Ethereum come fonte di backup per individuare i server di comando e controllo.

Se l’infrastruttura C2 principale diventa irraggiungibile, il malware interroga la blockchain e recupera gli indirizzi alternativi. Questo meccanismo rende molto più difficile il takedown: anche sequestrando i domini principali, gli attaccanti mantengono un canale di ripristino decentralizzato e pubblico.

Il ricorso a Ethereum segnala una crescente sofisticazione. Non è una novità assoluta nel panorama del malware, ma per un gruppo di spionaggio statale rappresenta un salto di resilienza operativa. I tentativi di abbattere l’infrastruttura C2 diventano meno efficaci quando il punto di caduta è una blockchain immutabile.

L’infrastruttura e le esche in spagnolo

L’infrastruttura associata all’intrusione di giugno 2026 fa parte di un cluster più ampio di domini in lingua spagnola a tema documenti. Questi domini vengono usati per distribuire file SVG dannosi e payload successivi.

Gli SVG non sono semplici immagini: possono contenere script che, una volta aperti, scaricano ed eseguono codice malevolo. La scelta di esche documentali – fatture, moduli, documenti finanziari – punta a convincere l’utente ad aprire il file allegato o a visitare il sito controllato.

La telemetria raccolta da Arctic Wolf indica un possibile targeting in Brasile, Ecuador, Uruguay, El Salvador, Colombia e Cile, oltre al Venezuela già confermato. L’attribuzione a Dark Caracal non è però uniforme per tutta l’attività osservata: alcuni segnali potrebbero appartenere a campagne correlate ma non riconducibili con certezza al gruppo.

Dark Caracal: chi è il gruppo

Dark Caracal è attivo almeno dal 2012. Le sue campagne hanno preso di mira personale militare e governativo, aziende, giornalisti, attivisti, avvocati, professionisti sanitari e istituzioni educative. Le tattiche note includono phishing, siti web dannosi e applicazioni mobili trojanizzate, con furto di documenti, comunicazioni, credenziali, foto e altri dati sensibili.

L’arsenale del gruppo comprende Pallas, un toolkit sviluppato su misura per il furto di dati da dispositivi Android, e una versione personalizzata di Bandook, RAT Windows commerciale usato da più attori dal 2007. La combinazione di strumenti mobile e desktop consente di coprire un ampio spettro di dispositivi.

L’aggiunta di GoCaracal – sviluppato attivamente nel corso del 2026 – consolida la capacità operativa. Il malware è passato da funzioni relativamente basilari di comunicazione cifrata, profilazione dell’host ed esecuzione di codice a un framework modulare con componenti riutilizzabili, shell interattive e tecniche per eludere antivirus e altri meccanismi di sicurezza.

Impatto e azioni di difesa

La gravità dell’attività non è quantificata da un punteggio CVSS, poiché non si tratta di una singola vulnerabilità ma di un framework malware per spionaggio a lungo termine. L’impatto operativo per le organizzazioni nel mirino è elevato: stabilire e mantenere un punto d’appoggio persistente e non rilevato permette la raccolta silenziosa di intelligence su persone, operazioni e relazioni.

I dati esfiltrati possono includere documenti riservati, comunicazioni interne, credenziali di accesso, keylog e contenuti da dispositivi Android tramite Pallas. Il controllo remoto interattivo consente agli attaccanti di muoversi lateralmente e preparare future azioni.

Arctic Wolf ha diffuso indicatori di compromissione e informazioni di rilevamento. Le organizzazioni possono utilizzare questi IOC per attività di detection e threat hunting: cercare nei log la presenza dei domini, degli hash dei campioni o delle peculiarità di rete associate a GoCaracal, Bandook e Pallas.

La fonte non descrive ulteriori mitigazioni tecniche dettagliate. Resta valido il principio di difesa in profondità: segmentazione della rete, monitoraggio degli endpoint, controllo dei processi sospetti e formazione degli utenti sui rischi degli allegati SVG e delle esche documentali in spagnolo.