Lorsqu'un centre d'opérations de commandement et de contrôle est saisi ou mis hors ligne par les forces de l'ordre, la partie est terminée pour la plupart des logiciels malveillants. Pas pour GoCaracal. Le nouvel implant écrit en Go attribué à Dark Caracal, le groupe de cyberespionnage lié aux services de sécurité libanais, a résolu le problème d'une manière que les analystes qualifient de « opérationnellement élégante » : lorsque le serveur principal ne répond plus, le malware se tourne vers un nœud public du réseau Ethereum, lit une adresse mise à jour à partir d'un contrat intelligent et reprend la communication comme si de rien n'était. Pas de domaine à réenregistrer, pas d'IP à circuler sur les forums : juste une transaction sur la blockchain.
Qui est Dark Caracal
Dark Caracal n'est pas un nouveau nom sur la scène du cyberespionnage. Le groupe, attribué à la Direction générale de la sécurité générale libanaise, est actif depuis au moins 2012 et a été documenté publiquement pour la première fois en 2018 dans une recherche conjointe menée par Lookout et EFF qui a révélé ses opérations contre des journalistes, des avocats, des militants, du personnel militaire et des institutions gouvernementales dans des dizaines de pays. Depuis, l'infrastructure a bougé plusieurs fois, mais la signature reste reconnaissable : le malware Windows Bandook, initialement développé par un acteur commercial libanais, réutilisé dans des campagnes ciblées avec des chargeurs Delphi et des leurres sur le thème des documents.
Ces derniers mois, le groupe s'est concentré sur l'Amérique latine, avec une infection confirmée chez un opérateur de télécommunications au Venezuela en juin 2026 et des traces associées – avec un niveau de confiance faible à modéré – au Brésil, en Équateur, au Chili, en Colombie, au Salvador et en Uruguay. Le vecteur d'entrée est cohérent avec le mode opératoire historique du groupe : des emails de phishing à caractère fiscal et financier, en espagnol, avec des pièces jointes SVG cachant une URL raccourcie encodée en Base64.
Un cadre à deux vitesses
GoCaracal existe en deux variantes, développées selon un calendrier que les analystes d'Arctic Wolf ont reconstitué en quatre phases entre janvier et juillet 2026. La première est une version « légère », conçue pour le premier règlement : elle utilise un protocole de paquets personnalisé crypté avec AES-GCM, effectue le profilage de l'hôte, télécharge des charges utiles supplémentaires et effectue une injection de shell et de shellcode à distance. Le second, « étendu », est la véritable fonction d'espionnage à long terme : il dispose de 34 gestionnaires de commandes distincts couvrant la collecte d'informations d'identification à partir des navigateurs (Chrome, Brave, Firefox), l'enregistrement des frappes, l'accès au bureau à distance via WebRTC, la fonctionnalité proxy SOCKS5 pour les mouvements latéraux et les mécanismes de persistance basés sur le registre.
La charge utile de la chaîne d'infection arrive généralement sous la forme d'une archive 7-Zip fournie par une infrastructure intermédiaire – dans les cas observés, le domaine getpdfdigital[.]cloud — qui délivre un exécutable avec un nom leurre du type tf-oficina004a9.exe. Un détail qui confirme à quel point Dark Caracal continue de se concentrer sur l'ingénierie sociale à faible coût plutôt que sur des exploits coûteux : la sophistication du groupe ne réside pas dans la phase de livraison, mais dans ce qui se passe après que la victime a déjà cliqué.
BulletproofC2 : la résilience écrite sur la blockchain
La partie la plus intéressante, d'un point de vue technique, est le mécanisme de repli introduit à l'été 2026. Lorsque les tentatives de connexion aux serveurs C2 primaires échouent à plusieurs reprises, l'installation interroge directement un nœud RPC public du réseau Ethereum et exécute un appel. eth_getStorageAt sur un contrat intelligent nommé par les analystes Pare-ballesC2sorti le 20 mai 2026. Le contrat agit comme un simple registre : il stocke une ou plusieurs adresses de serveur de sauvegarde, que l'opérateur peut mettre à jour à tout moment en envoyant une transaction depuis son wallet.
L’avantage pour l’attaquant est clair. Un domaine C2 peut être saisi par un registraire, une IP peut être bloquée par un hébergeur, mais un contrat intelligent sur Ethereum est immuable une fois déployé, lisible publiquement par toute personne disposant d'un nœud RPC (même gratuit), et ne nécessite aucune infrastructure dédiée pour y accéder – le trafic se fond dans le bruit de fond normal des applications Web3. Pour un défenseur, distinguer une requête légitime adressée à un nœud Ethereum d’un appel provenant d’un implant malveillant recherchant son serveur de sauvegarde est loin d’être anodin, en particulier dans les environnements d’entreprise où le trafic vers les fournisseurs RPC publics n’est pas inhabituel.
Ce n’est pas la première fois qu’un groupe criminel expérimente la blockchain pour la résilience C2 – des techniques similaires, connues sous le nom de « résolveurs de chute morte » basées sur la blockchain, ont été observées dans des campagnes de cybercriminalité plus larges dans le passé – mais l’adoption par un acteur de cyberespionnage proche de l’État comme Dark Caracal marque un saut dans la maturité opérationnelle qui mérite d’être surveillé de près.
Deux lignes pour les défenseurs
Pour les équipes de détection, le principal enseignement est que bloquer uniquement les indicateurs de réseau traditionnels (domaines, IP) ne suffit plus face à des acteurs qui disposent d’un canal de récupération échappant au contrôle de quiconque autre que l’opérateur. Les recommandations pratiques comprennent :
- Bloquez ou inspectez en sandbox les pièces jointes SVG dans les e-mails entrants, en particulier si elles contiennent des URL codées en Base64 ou des redirections vers des domaines récemment enregistrés ;
- Surveiller les communications vers les points de terminaison RPC publics Ethereum (Infura, Alchemy, nœuds auto-hébergés) à partir d'hôtes qui n'ont aucune raison d'interagir avec la blockchain, et en particulier les appels
eth_getStorageAtrépété à la même adresse contractuelle ; - Appliquez les règles YARA publiées par Arctic Wolf pour la variante légère et intégrez les hachages SHA-256 connus dans vos outils EDR ;
- Renforcer la formation des utilisateurs sur le phishing fiscal/financier, vecteur d'entrée privilégié du groupe depuis plus d'une décennie ;
- Pour les organisations d'Amérique latine (télécommunications en particulier), augmentez le niveau d'alerte et vérifiez rétroactivement dans les journaux DNS les résolutions vers les domaines de transfert connus.
L'ensemble complet des indicateurs de compromission, y compris les règles YARA mises à jour, est réservé aux clients d'Arctic Wolf ; Nous rapportons ci-dessous les indicateurs rendus publics.
Indicateurs de compromission (IoC)
# Hash SHA-256
GoCaracal (lightweight): 1E499C815146124C4A6D2B48C99068B980AD74E1A2CFD16013F8D75A9425A0CA
GoCaracal (lightweight): 77F7AD29F4A8037EE5F38D3D87FB91CFD97CB8F7FA7883EDF3FCE506DF5200C0
GoCaracal (extended): 8C03D072DF2E1BF14B0C00A8AB99834138C8B69F301849BF09CB44394E916015
Delphi loader: 0A6DA70548F14834ACB8960689A589B48FF422F8385AE445A281AAB77045FE22
# Domini C2 / staging
getpdfdigital[.]cloud
getpdf[.]digital
visualizarpdf[.]online
contabilidad[.]icu
soportedigital[.]cloud
documentodigital[.]cloud
gestionadocs[.]me
# IP C2 (selezione)
109.120.187.217
109.172.95.121
138.124.112.213
138.124.14.130
176.124.220.153
185.125.101.181
185.96.80.110
185.96.80.54
193.233.245.52
# Smart contract Ethereum (fallback C2)
Contratto: BulletproofC2
Indirizzo: 0x03D605f13A74Bfb6149078122FcF62BD6d8799d8
Deploy: 20 maggio 2026
Wallet operatore: 0x7D321FE277f8c25aaC14aF1BA3Fc34953242052F
# Payload noto
tf-oficina004a9.exe (archivio 7-Zip)Sources : Arctic Wolf, The Hacker News, SC World, Affaires de sécurité.