GoCaracal intenta recuperar C2 utilizando valores almacenados en Ethereum

Se ha hecho pública una instancia en la que el marco de malware GoCaracal utiliza valores de contratos inteligentes de Ethereum (ETH) para verificar direcciones de servidores de comando y control (C2) alternativos. Arctic Wolf Labs informó que descubrió GoCaracal durante una investigación sobre la infiltración de organizaciones de telecomunicaciones en Venezuela en junio de 2026. Este malware envía una solicitud eth_getStorageAt al punto final JSON-RPC público de Ethereum para leer una dirección C2 alternativa y reintentar la comunicación en caso de fallo de conexión con el servidor C2 principal. Arctic Wolf explicó que no todo el canal C2 existe en Ethereum, y que la blockchain es una ruta de respaldo para la distribución de direcciones de servidor. El contrato inteligente mencionado en el informe, BulletproofC2, almacena valores C2 modificables, diseñado para que solo el distribuidor pueda actualizar los valores. GoCaracal se divide en versiones ligeras y ampliadas, siendo la ampliada capaz de gestionar archivos, registrar teclas y ofrecer funciones de proxy SOCKS5. Arctic Wolf analizó 249 muestras y determinó que GoCaracal evolucionó a un marco de infiltración modular entre enero y julio de 2026. Este caso demuestra que las funciones públicas de la red blockchain pueden aumentar la ocultación y resiliencia de la infraestructura maliciosa. Arctic Wolf ha publicado reglas YARA e indicadores de compromiso para facilitar la detección y respuesta.