GoCaracal trat bei dem untersuchten Einbruch in zwei Auspraegungen auf. Das schlanke Profil bietet Host-Profiling, einen verschluesselten C2-Kanal, interaktiven Shell-Zugriff, das Nachladen und Ausfuehren von Payloads sowie das Laden und Injizieren von Shellcode. Das erweiterte Profil ergaenzt System- und Dateierkennung, Befehlsausfuehrung, das Einsammeln von Browser-Cookies und Anmeldedatenbanken, Keylogging, gezielte Dateisuche, Fernsteuerung des Desktops per WebRTC, verdeckte Browser-Interaktion, SOCKS5-Proxying und Funktionen zur Persistenz.
Parallel zum schlanken Profil wurde anschliessend Bandook eingesetzt. Nach Einschaetzung von Arctic Wolf belegen die derzeitigen Hinweise nicht, dass GoCaracal Bandook ersetzen soll — beide liefen nebeneinander.
Als Zustellweg nimmt Arctic Wolf Phishing an, ohne die urspruengliche E-Mail oder den SVG-Anhang beim Opfer sichergestellt zu haben. Die Annahme stuetzt sich auf die Benennung der Artefakte mit Finanz- und Steuerbezug, das bekannte Kampagnenmuster sowie mehr als 100 verwandte SVG-Dateien, die mit derselben boesartigen Hosting-Seite kommunizierten.
Der Ethereum-Mechanismus greift erst, wenn das erweiterte Profil den konfigurierten primaeren C2-Server wiederholt nicht erreicht. Dann setzt die Schadsoftware eine eth_getStorageAt-Anfrage an einen oeffentlichen Ethereum-JSON-RPC-Endpunkt ab. Die Antwort liefert eine im hinterlegten Smart Contract gespeicherte Ersatzadresse, die GoCaracal in seine Konfiguration im Arbeitsspeicher schreibt und mit der es die herkoemmliche Kommunikation ausserhalb der Blockchain erneut versucht.
Weil derselbe Vertragszustand ueber mehrere oeffentliche RPC-Endpunkte ausgelesen werden kann, haengt der Rueckfallweg nicht an einem einzelnen Zugangspunkt. “Dieser Mechanismus verlagert nicht den gesamten Command-and-Control-Kanal der Schadsoftware auf Ethereum”, stellt Arctic Wolf klar. Der praktische Nutzen fuer die Betreiber: Sie koennen die Ersatzadresse aendern, ohne eine neue GoCaracal-Binaerdatei ausliefern zu muessen.
Ob der Ausweichmechanismus tatsaechlich zum Zuge kam, laesst der Bericht offen: Er zeigt keinen Host aus dem Juni-Vorfall, der den Fallback ausgeloest und sich ueber die Ersatzadresse erfolgreich neu verbunden haette. The Hacker News fragte bei Arctic Wolf nach, ob der Ethereum-Fallback auf einem infizierten System beobachtet wurde und wie gross der bestaetigte Umfang der Kampagne ist; bis zur Veroeffentlichung lag keine Antwort vor.
Dark Caracal ist in Lateinamerika seit Langem aktiv. The Hacker News berichtete 2018 ueber die erste Offenlegung der Gruppe, 2020 ueber ueberarbeitete Bandook-Schadsoftware und 2021 ueber Bandook-Angriffe in Venezuela. Verwandte Artefakte und Infrastruktur bringt Arctic Wolf mit Brasilien, Ecuador, Chile, Kolumbien, El Salvador und Uruguay in Verbindung und schaetzt eine breitere regionale Aktivitaet mit moderater Zuversicht ein — als bestaetigte Opferlaender bezeichnet das Unternehmen diese Staaten ausdruecklich nicht.
Die veroeffentlichten Kompromittierungsindikatoren bezeichnet Arctic Wolf als referenziell; der vollstaendige Satz stehe Kunden des Unternehmens zur Verfuegung.