O malware GoCaracal representa uma nova etapa na evolução das ameaças direcionadas à América Latina. Descoberto pela Arctic Wolf Labs durante uma investigação de intrusão contra uma organização de comunicações na Venezuela, o framework combina capacidades tradicionais de acesso remoto com uma técnica incomum: utilizar a blockchain Ethereum como fonte de contingência para descobrir novos endereços de servidores de comando e controle (C2).
O caso chama atenção porque não se trata de uma falha no Ethereum ou nos contratos inteligentes. Os operadores simplesmente aproveitam uma infraestrutura pública, distribuída e resistente a alterações para armazenar uma informação que o malware pode consultar quando seu C2 principal deixa de funcionar. Para profissionais de segurança, a novidade amplia o conjunto de mecanismos que precisam ser monitorados durante uma investigação.
Como o malware GoCaracal opera nos sistemas-alvo
O GoCaracal é um framework modular desenvolvido em Go, e a análise de 249 amostras permitiu à Arctic Wolf identificar dois perfis operacionais: uma versão leve, voltada principalmente para estabelecer acesso e entregar outros componentes, e uma versão estendida, projetada para manter controle prolongado e realizar coleta de informações.
A arquitetura compartilhada indica que não são duas famílias independentes, mas diferentes compilações de uma mesma plataforma. Segundo os pesquisadores, o desenvolvimento evoluiu entre janeiro e julho de 2026, passando de funções básicas de acesso para um conjunto muito mais amplo de recursos pós-comprometimento.
Variante leve: acesso e entrega de payloads
A variante leve funciona como uma porta de entrada. Durante a inicialização, o código coleta informações básicas do computador, incluindo usuário, hostname, sistema operacional, tempo de atividade, janela ativa e produtos de segurança detectados.
A comunicação com o C2 utiliza um protocolo próprio protegido por AES-GCM, dificultando a inspeção direta do conteúdo trafegado. Depois de estabelecer comunicação, o operador pode enviar comandos para controlar um shell interativo, baixar e executar arquivos, acessar conteúdo por URLs, carregar shellcode e realizar injeção de código em outros processos.
Esse desenho deixa clara a função estratégica da versão menor. Em vez de concentrar todas as ferramentas em um único executável, o atacante pode utilizar o GoCaracal para obter o primeiro controle e, posteriormente, introduzir componentes adicionais.
Na intrusão analisada na Venezuela, essa função ficou ainda mais evidente: o implante leve foi seguido pela implantação de um loader Delphi contendo uma versão atualizada do Bandook e de uma compilação estendida do GoCaracal.
Variante estendida: espionagem e controle remoto
A variante estendida transforma o framework em uma ferramenta de acesso remoto muito mais abrangente. Ela possui funções para descoberta do sistema, enumeração de processos, identificação de unidades e diretórios e pesquisa recursiva de arquivos.
Também inclui recursos de coleta de cookies e bancos de login de navegadores, keylogger, busca direcionada por arquivos e execução de programas. O componente é capaz ainda de oferecer interação remota por WebRTC, comportamento semelhante a VNC oculto e criação de uma sessão de navegador escondida a partir do perfil local do Chrome.
Outro recurso relevante é o proxy SOCKS5, que permite encaminhar tráfego do operador através da máquina comprometida. Na prática, isso pode transformar o equipamento infectado em uma ponte para outras atividades dentro da rede.
O código também apresenta mecanismos relacionados à persistência, incluindo manipulação de hive do Registro e criação de um artefato oculto associado a uma rotina baseada em Run Key. Essa combinação coloca o GoCaracal estendido mais próximo de um RAT modular do que de um simples trojan de primeiro estágio.
Como o malware GoCaracal chega às vítimas
A cadeia de distribuição observada mantém características já associadas às campanhas do Dark Caracal na região. A Arctic Wolf encontrou evidências compatíveis com o uso de iscas financeiras e fiscais em espanhol, arquivos SVG maliciosos, serviços de encurtamento de URLs e infraestrutura que aparenta hospedar documentos legítimos.
Os pesquisadores não recuperaram o e-mail original nem o SVG utilizado na intrusão específica, mas identificaram mais de 100 arquivos SVG relacionados que se comunicavam com a mesma infraestrutura maliciosa.
Em uma amostra semelhante, o conteúdo SVG continha uma URL encurtada codificada em Base64. Ao ser aberto, o arquivo conduzia o navegador por uma cadeia de redirecionamentos até uma infraestrutura controlada pelos invasores, que entregava um arquivo compactado contendo o implante GoCaracal.
A estratégia é particularmente relevante para organizações latino-americanas porque combina engenharia social contextualizada com componentes técnicos relativamente discretos. Uma mensagem relacionada a impostos, contabilidade ou documentos financeiros pode parecer plausível para um funcionário, enquanto a etapa maliciosa acontece posteriormente por meio do navegador.
O uso de contratos inteligentes no Ethereum como C2 de contingência
O aspecto mais inovador do malware GoCaracal está na maneira como a variante estendida pode recuperar um novo endereço de C2.
Normalmente, um malware possui um ou mais endereços previamente configurados. Se esses servidores forem derrubados, bloqueados ou simplesmente ficarem indisponíveis, a comunicação pode ser interrompida. O GoCaracal adiciona uma camada de contingência baseada no Ethereum.
Quando as tentativas de contato com o C2 principal falham repetidamente, o implante pode enviar uma requisição eth_getStorageAt para um endpoint público JSON-RPC da rede Ethereum. O método permite consultar o valor armazenado em uma determinada posição do armazenamento de um contrato.
Nesse caso, o valor armazenado no contrato funciona como uma espécie de dead drop digital. O malware recupera a informação, verifica se ela representa um endereço válido e atualiza sua configuração em memória para tentar novamente a comunicação usando o novo destino.
É importante destacar que o Ethereum não hospeda todo o canal C2. A blockchain atua como uma fonte de configuração para recuperar o endereço de contingência. Depois de obter a informação, o malware volta a utilizar comunicação convencional com o servidor remoto.
Por que o C2 baseado em Ethereum dificulta a neutralização
A vantagem para o atacante está na separação entre infraestrutura de controle e mecanismo de recuperação.
O operador pode alterar o valor armazenado pelo contrato por meio de uma transação na blockchain. Assim, uma infraestrutura comprometida ou derrubada pode ser substituída sem necessariamente exigir uma nova versão do malware distribuída às vítimas.
Além disso, diferentes endpoints públicos de JSON-RPC podem fornecer acesso ao mesmo estado da blockchain. Isso reduz a dependência de um único servidor de fallback e aumenta o número de pontos que uma equipe defensiva teria de bloquear para impedir a consulta.
A Arctic Wolf identificou um contrato em Solidity chamado BulletproofC2, cujo valor de C2 podia ser alterado pelo proprietário responsável pelo contrato. A análise do histórico de transações mostrou alterações do valor armazenado para um endereço IP público, indicando que o mecanismo não estava presente apenas como código experimental.
Para as equipes de defesa, isso cria um problema interessante: bloquear os servidores C2 conhecidos não necessariamente elimina a capacidade de recuperação do implante.
Dark Caracal amplia seu arsenal na América Latina
A descoberta também precisa ser analisada dentro do histórico do Dark Caracal, grupo associado pela Arctic Wolf, com confiança média, à intrusão investigada na Venezuela. A avaliação considera múltiplos elementos convergentes, como o uso do Bandook, loaders Delphi, iscas financeiras em espanhol, arquivos SVG maliciosos, encurtadores de URLs, infraestrutura temática de documentos e foco histórico na América Latina.
Em campanhas anteriores de 2026, o grupo já havia utilizado uma cadeia semelhante contra alvos na Venezuela, Chile e Brasil, com phishing financeiro, SVG malicioso e o backdoor AsioGate. A nova investigação mostra uma mudança no arsenal, mas não uma substituição completa das ferramentas antigas.
O Bandook continua aparecendo nas operações. A diferença é que o GoCaracal agora oferece uma arquitetura modular capaz de assumir várias funções que anteriormente estavam concentradas em ferramentas estabelecidas.
A própria Arctic Wolf ressalta que os dois malwares estão operando em paralelo. Portanto, é mais correto interpretar o GoCaracal como uma expansão do arsenal do Dark Caracal, e não como um substituto definitivo do Bandook.
O que as empresas podem fazer para detectar o GoCaracal
A descoberta reforça a necessidade de combinar detecção baseada em arquivos, telemetria de rede e análise comportamental. A Arctic Wolf disponibilizou uma regra YARA específica para a variante leve, além de indicadores de comprometimento relacionados a hashes, domínios, endereços IP e contratos Ethereum.
Para administradores e analistas, também merece atenção o comportamento de máquinas que, sem justificativa operacional, realizam consultas JSON-RPC para redes blockchain públicas. Uma consulta isolada não significa comprometimento, mas uma estação corporativa que combina esse comportamento com conexões C2 suspeitas, execução de binários desconhecidos e coleta de informações deve ser investigada.
Monitorar DNS, conexões de saída, execução de binários Go desconhecidos, acesso a endpoints RPC e alterações anômalas de persistência pode ajudar a identificar a atividade antes que o invasor consiga ampliar o acesso.
O caso do GoCaracal mostra, sobretudo, que a defesa precisa acompanhar não apenas novos malwares, mas também a forma como tecnologias legítimas são incorporadas às cadeias de ataque.
A utilização de smart contracts como mecanismo de contingência para C2 é um exemplo claro dessa mudança. A blockchain foi projetada para oferecer disponibilidade e resistência à manipulação centralizada. No contexto do malware, essas mesmas características podem ser exploradas para aumentar a resiliência operacional de uma campanha.
Para organizações da América Latina, onde o Dark Caracal mantém histórico de atividade, a combinação entre phishing contextualizado, SVG malicioso, malware modular, infraestrutura fragmentada e C2 com fallback baseado em blockchain merece atenção especial.
O avanço do GoCaracal também deixa uma pergunta importante para o setor: até onde tecnologias Web3 legítimas poderão ser incorporadas por grupos de ameaça para tornar operações maliciosas mais resistentes a bloqueios e derrubadas?
Compartilhe esta análise com sua equipe de segurança e deixe nos comentários como sua organização está tratando tráfego RPC, infraestrutura blockchain e novos mecanismos de redundância de C2 em estratégias de detecção e resposta.