Dark Caracal атакует Венесуэлу: выявлен новый имплант GoCaracal

В июне 2026 года Dark Caracal, по имеющимся данным, провела целенаправленное вторжение в организацию связи в Венесуэле. В ходе кампании группировка применила знакомые методы доставки вредоносного программного обеспечения и задействовала ранее не задокументированный имплант на базе Go, получивший название GoCaracal.

Цепочка доставки

Dark Caracal использовала приманки на испанском языке, посвящённые финансовой и налоговой тематике. Вредоносные SVG-файлы содержали сокращённые URL-адреса в кодировке Base64. После открытия такие файлы перенаправляли жертв через специальные сервисы на инфраструктуру, контролируемую злоумышленниками.

В цепочке также применялись доменные имена с документальной тематикой и загрузчики на базе Delphi. На атакующей инфраструктуре размещался 7-Zip-архив с GoCaracal.

Анализ 249 связанных образцов выявил два профиля GoCaracal. Оба построены на основе общего модульного фреймворка, однако отличаются назначением и набором функций.

Возможности GoCaracal

Лёгкий профиль

Лёгкий профиль предназначен для закрепления начального присутствия и доставки дополнительных полезных нагрузок. Он использует коммуникации на основе собственных пакетов с шифрованием AES-GCM.

Имплант собирает сведения об узле, включая:

• имя пользователя;
• имя узла;
• операционную систему;
• время работы системы;
• название активного окна;
• установленные средства защиты.

Профиль также поддерживает извлечение и выполнение файлов, загрузку по URL, доступ к интерактивной оболочке, загрузку shellcode и внедрение кода в процессы.

Расширенный профиль

Расширенный профиль обеспечивает устойчивый доступ и сбор разведывательной информации. Он включает 34 обработчика команд для изучения процессов, перечисления дисков и каталогов, рекурсивного поиска файлов, выполнения команд и самообновления.

Кроме того, профиль позволяет:

• манипулировать файлами;
• красть browser cookies и базы данных учётных данных;
• регистрировать нажатия клавиш;
• целенаправленно собирать файлы;
• получать доступ к рабочему столу через WebRTC;
• использовать скрытую функциональность VNC;
• клонировать профили Chrome;
• организовывать проксирование через SOCKS5.

В расширенной сборке присутствует функциональность закрепления, которая использует ульи реестра и скрытый файл NTUSER.MAN, связанный с рабочим процессом ключа Run.

Ethereum как резервный механизм для C2

Расширенная сборка GoCaracal может использовать Ethereum для резервного разрешения C2. После нескольких неудачных попыток установить соединение с настроенным C2-сервером вредонос обращается к хранилищу Ethereum через публичный JSON-RPC-эндпоинт, используя метод eth_getStorageAt.

В смарт-контракте хранится изменяемое значение C2. Это позволяет операторам менять инфраструктуру без повторного развёртывания вредоносного программного обеспечения.

Связанные контракты сначала тестировались в сети Ethereum Sepolia, а затем использовались в основной сети, mainnet. История транзакций указывает на обновления публичных IP-адресов.

Обновлённый Bandook

В ходе вторжения вместе с GoCaracal был развёрнут обновлённый вариант Bandook. Он сохранил функции кражи учётных данных из браузеров Chrome, Brave и Firefox, но получил рандомизированные идентификаторы команд и обфусцированные имена плагинов. Эти изменения затрудняют анализ вредоносного программного обеспечения.

Имеющиеся данные указывают, что GoCaracal пока дополняет Bandook, а не заменяет его.

Разделение инфраструктуры

Связанная инфраструктура была ориентирована на организации в Латинской Америке. Для C2-серверов GoCaracal и Bandook использовались отдельные схемы хостинга.

Такое разделение указывает на более компартментализированный набор инструментов Dark Caracal, в котором разные компоненты кампании обслуживаются независимо друг от друга.