Arctic Wolf ordnet GoCaracal einer Gruppe zu, die Forscher zuvor mit der libanesischen General Directorate of General Security (GDGS) in Verbindung gebracht haben. Dark Caracal ist seit mindestens 2012 aktiv und wird mit Spionageoperationen gegen ein breites Zielspektrum verbunden: Militär- und Regierungsangehörige, Unternehmen, Journalisten, Aktivisten, Anwälte, medizinisches Personal und Bildungseinrichtungen.
Zum Instrumentarium der Gruppe zählen Phishing, präparierte Websites und mit Schadcode versehene mobile Anwendungen. Ziel ist der Abfluss von Dokumenten, Kommunikationsinhalten, Zugangsdaten, Fotos und weiteren sensiblen Daten. Bekannt sind unter anderem Pallas, ein eigens entwickeltes Werkzeug zum Auslesen von Android-Geräten, sowie eine angepasste Variante von Bandook — eines kommerziell verfügbaren Windows-Fernzugriffstrojaners, der von mehreren Akteuren seit 2007 genutzt wird.
In der laufenden Lateinamerika-Kampagne hält Dark Caracal laut Arctic Wolf an seinen etablierten Ziel- und Auslieferungsmustern fest: spanischsprachige Köder mit Finanz- und Dokumentenbezug, über die bösartige SVG-Dateien und anschließende Schadsoftware verteilt werden. Die Telemetrie des Anbieters deutet auf mögliche Ziele in Brasilien, Ecuador, Uruguay, El Salvador, Kolumbien und Chile hin, wobei die Belege für eine Zuordnung zu Dark Caracal nicht in allen Fällen gleich belastbar sind.
Dass GoCaracal im untersuchten Einbruch neben einer aktualisierten Bandook-Version auftrat, interpretiert Arctic Wolf als Hinweis darauf, dass das neue Framework Bandook zunächst ergänzt und nicht ersetzt. Ersetzt wurde dagegen offenbar die früher genutzte Schadsoftware AsioGate: Für Erstzugang und die Aktivitäten nach der Kompromittierung — Dateisammlung, Diebstahl von Zugangsdaten, Aufzeichnung von Tastatureingaben, Remote-Shell-Zugriff und weitere Informationsbeschaffung — greift die Gruppe nun auf die neuen Komponenten zurück.
GoCaracal wird nach Angaben von Arctic Wolf über das gesamte Jahr 2026 hinweg aktiv weiterentwickelt. Anfangs beschränkte sich das Framework auf verschlüsselte Kommunikation, Host-Profiling und Codeausführung. Inzwischen handelt es sich um ein modulares Werkzeug mit wiederverwendbaren Bausteinen, interaktiven Shells und Funktionen zur Umgehung von Antivirenprodukten und anderen Schutzmechanismen. Die Ethereum-basierte Rückfalloption für die C2-Kommunikation gilt den Forschern als Zeichen wachsender Reife — und als Widerstand gegen Versuche, die Infrastruktur abzuschalten.
Für betroffene Organisationen liegt das eigentliche Risiko bei Akteuren wie Dark Caracal weniger im unmittelbaren Datenabfluss als im dauerhaften, unentdeckten Standbein im Netzwerk: Ziel ist das stille Sammeln von Erkenntnissen über Personal, Abläufe und Beziehungen einer Organisation, die sich für spätere Angriffe nutzen lassen. Arctic Wolf hat Indikatoren für eine Kompromittierung sowie weitere Informationen veröffentlicht, mit denen sich Spuren der Aktivität suchen und erkennen lassen.