Quando un centro operativo di comando e controllo viene sequestrato o messo offline dalle forze dell’ordine, per la maggior parte dei malware è la fine della partita. Non per GoCaracal. Il nuovo impianto scritto in Go attribuito a Dark Caracal, il gruppo di cyberspionaggio legato ai servizi di sicurezza libanesi, ha risolto il problema in un modo che gli analisti definiscono “operativamente elegante”: quando il server primario non risponde, il malware si rivolge a un nodo pubblico della rete Ethereum, legge un indirizzo aggiornato da uno smart contract e riprende a comunicare come se nulla fosse successo. Nessun dominio da riregistrare, nessun IP da far circolare sui forum: basta una transazione sulla blockchain.
Chi è Dark Caracal
Dark Caracal non è un nome nuovo nel panorama del cyberspionaggio. Il gruppo, con un’attribuzione a confidenza media al Lebanese General Directorate of General Security, è attivo almeno dal 2012 ed è stato documentato per la prima volta pubblicamente nel 2018 in una ricerca congiunta di Lookout ed EFF che ne svelò le operazioni contro giornalisti, avvocati, attivisti, militari e istituzioni governative in decine di Paesi. Da allora l’infrastruttura si è spostata più volte, ma la firma resta riconoscibile: il malware Windows Bandook, sviluppato originariamente da un attore commerciale libanese, riutilizzato in campagne mirate con loader Delphi e lure a tema documentale.
Negli ultimi mesi il gruppo ha spostato l’attenzione verso l’America Latina, con un’infezione confermata ai danni di un operatore delle telecomunicazioni in Venezuela nel giugno 2026 e tracce correlate — con confidenza da bassa a moderata — in Brasile, Ecuador, Cile, Colombia, El Salvador e Uruguay. Il vettore d’ingresso è coerente con il modus operandi storico del gruppo: email di phishing a tema fiscale e finanziario, in lingua spagnola, con allegati SVG che nascondono un URL abbreviato codificato in Base64.
Un framework a due velocità
GoCaracal esiste in due varianti, sviluppate secondo una timeline che gli analisti di Arctic Wolf hanno ricostruito in quattro fasi tra gennaio e luglio 2026. La prima è una versione “lightweight”, pensata per il primo insediamento: usa un protocollo a pacchetti personalizzato cifrato con AES-GCM, effettua host profiling, scarica payload aggiuntivi ed esegue shell remote e shellcode injection. La seconda, “estesa”, è il vero e proprio impianto di spionaggio a lungo termine: conta 34 gestori di comandi distinti che coprono raccolta di credenziali dai browser (Chrome, Brave, Firefox), keylogging, accesso desktop remoto via WebRTC, funzionalità proxy SOCKS5 per il movimento laterale e meccanismi di persistenza basati su registro di sistema.
Il payload della catena d’infezione arriva tipicamente come archivio 7-Zip distribuito da un’infrastruttura di staging — nei casi osservati, il dominio getpdfdigital[.]cloud — che eroga un eseguibile con nome esca del tipo tf-oficina004a9.exe. Un dettaglio che conferma quanto Dark Caracal continui a puntare su ingegneria sociale a basso costo piuttosto che su exploit costosi: la sofisticazione del gruppo non è nella fase di delivery, ma in ciò che succede dopo che la vittima ha già cliccato.
BulletproofC2: la resilienza scritta sulla blockchain
La parte più interessante, dal punto di vista tecnico, è il meccanismo di fallback introdotto nell’estate 2026. Quando i tentativi di connessione ai server C2 primari falliscono ripetutamente, l’impianto interroga direttamente un nodo RPC pubblico della rete Ethereum ed esegue una chiamata eth_getStorageAt su uno smart contract battezzato dagli analisti BulletproofC2, distribuito il 20 maggio 2026. Il contratto funge da semplice registro: memorizza uno o più indirizzi di server di backup, che l’operatore può aggiornare in qualsiasi momento inviando una transazione dal proprio wallet.
Il vantaggio per l’attaccante è evidente. Un dominio C2 può essere sequestrato da un registrar, un IP può essere bloccato da un provider di hosting, ma uno smart contract su Ethereum è immutabile una volta deployato, pubblicamente leggibile da chiunque disponga di un nodo RPC (anche gratuito) e non richiede infrastruttura dedicata per essere consultato — il traffico si confonde con il normale rumore di fondo delle applicazioni Web3. Per un difensore, distinguere una query legittima a un nodo Ethereum da una chiamata di un impianto malevolo che cerca il proprio server di backup è tutt’altro che banale, specialmente in ambienti aziendali dove il traffico verso provider RPC pubblici non è insolito.
Non è la prima volta che un gruppo criminale sperimenta con la blockchain per la resilienza del C2 — tecniche simili, note come “dead drop resolver” basati su blockchain, sono state osservate in passato in campagne di crimine informatico più ampio — ma l’adozione da parte di un attore di cyberspionaggio state-adjacent come Dark Caracal segna un salto di maturità operativa che vale la pena monitorare da vicino.
Due righe per i difensori
Per i team di detection, la lezione principale è che il blocco dei soli indicatori di rete tradizionali (domini, IP) non basta più contro attori che dispongono di un canale di ripristino fuori dal controllo di chiunque non sia l’operatore. Le raccomandazioni pratiche includono:
- Bloccare o ispezionare in sandbox gli allegati SVG nelle email in ingresso, specialmente se contengono URL codificati in Base64 o reindirizzamenti verso domini di recente registrazione;
- Monitorare le comunicazioni verso endpoint RPC pubblici di Ethereum (Infura, Alchemy, nodi self-hosted) da host che non hanno ragione di interagire con la blockchain, e in particolare chiamate
eth_getStorageAtripetute verso lo stesso indirizzo di contratto; - Applicare le regole YARA pubblicate da Arctic Wolf per la variante lightweight e integrare gli hash SHA-256 noti nei propri strumenti EDR;
- Rafforzare la formazione degli utenti su phishing a tema fiscale/finanziario, il vettore d’ingresso preferito dal gruppo da oltre un decennio;
- Per le organizzazioni in America Latina — settore telecomunicazioni in particolare — innalzare il livello di allerta e verificare retroattivamente i log DNS per le risoluzioni verso i domini di staging noti.
Il set completo di indicatori di compromissione, incluse le regole YARA aggiornate, è riservato ai clienti di Arctic Wolf; di seguito riportiamo gli indicatori resi pubblici.
Indicatori di compromissione (IoC)
# Hash SHA-256
GoCaracal (lightweight): 1E499C815146124C4A6D2B48C99068B980AD74E1A2CFD16013F8D75A9425A0CA
GoCaracal (lightweight): 77F7AD29F4A8037EE5F38D3D87FB91CFD97CB8F7FA7883EDF3FCE506DF5200C0
GoCaracal (extended): 8C03D072DF2E1BF14B0C00A8AB99834138C8B69F301849BF09CB44394E916015
Delphi loader: 0A6DA70548F14834ACB8960689A589B48FF422F8385AE445A281AAB77045FE22
# Domini C2 / staging
getpdfdigital[.]cloud
getpdf[.]digital
visualizarpdf[.]online
contabilidad[.]icu
soportedigital[.]cloud
documentodigital[.]cloud
gestionadocs[.]me
# IP C2 (selezione)
109.120.187.217
109.172.95.121
138.124.112.213
138.124.14.130
176.124.220.153
185.125.101.181
185.96.80.110
185.96.80.54
193.233.245.52
# Smart contract Ethereum (fallback C2)
Contratto: BulletproofC2
Indirizzo: 0x03D605f13A74Bfb6149078122FcF62BD6d8799d8
Deploy: 20 maggio 2026
Wallet operatore: 0x7D321FE277f8c25aaC14aF1BA3Fc34953242052F
# Payload noto
tf-oficina004a9.exe (archivio 7-Zip)Fonti: Arctic Wolf, The Hacker News, SC World, Security Affairs.