O grupo de ciberespionagem Dark Caracal, vinculado ao Líbano, adicionou um novo framework de malware chamado GoCaracal ao seu arsenal. A descoberta foi feita pelos pesquisadores da Arctic Wolf durante a investigação de uma intrusão direcionada na Venezuela.

Segundo o relatório divulgado nesta semana pela empresa de segurança, a análise de cerca de 250 amostras do malware revelou que o grupo utiliza duas versões do GoCaracal. A primeira é um implante leve, destinado ao acesso inicial e ao download de cargas adicionais. A segunda é uma versão mais robusta, projetada para coletar inteligência e manter controle interativo sobre os sistemas comprometidos. O build mais avançado do GoCaracal utiliza um banco de dados público baseado em blockchain Ethereum como fonte alternativa para localizar servidores de comando e controle caso a infraestrutura principal fique indisponível.

Operação de longa data

O Dark Caracal é uma operação de ciberespionagem ativa desde pelo menos 2012, anteriormente associada por pesquisadores à Diretoria Geral de Segurança Geral do Líbano (GDGS). O grupo já direcionou ataques contra uma ampla gama de alvos, incluindo militares, funcionários governamentais, empresas, jornalistas, ativistas, advogados, profissionais de saúde e instituições de ensino. Seu kit de ferramentas inclui o Pallas, um malware personalizado para roubo de dados em dispositivos Android, e uma versão customizada do Bandook, um trojan de acesso remoto para Windows disponível comercialmente e utilizado por diversos agentes de ameaça desde 2007.

Infraestrutura e alvos na América Latina

De acordo com a Arctic Wolf, a infraestrutura associada à intrusão de junho de 2026 faz parte de um cluster mais amplo de domínios em espanhol com temas financeiros e documentos, usados para distribuir arquivos SVG maliciosos e payloads subsequentes. A telemetria da empresa aponta para possíveis alvos no Brasil, Equador, Uruguai, El Salvador, Colômbia e Chile, embora a evidência que liga toda a atividade ao Dark Caracal não seja igualmente robusta em todos os casos.

Substituição gradual de ferramentas

Na intrusão investigada em uma organização de comunicações venezuelana, os pesquisadores encontraram o GoCaracal implantado junto a uma versão atualizada do Bandook. A Arctic Wolf interpreta isso como um sinal de que os atores do Dark Caracal estão usando o GoCaracal para complementar as capacidades do Bandook, e não para substituí-lo completamente, pelo menos por enquanto. O grupo, no entanto, aparenta ter trocado o malware AsioGate, usado anteriormente para acesso inicial e atividades pós-comprometimento, pelo GoCaracal, que agora é utilizado para coleta de arquivos, roubo de credenciais, registro de teclas, acesso remoto via shell e outras atividades de coleta de inteligência.

Evolução do framework

O GoCaracal é um malware que o grupo vem desenvolvendo ativamente ao longo de 2026. O framework começou com capacidades relativamente básicas de comunicação criptografada, profiling de hosts e execução de código, e evoluiu para uma ferramenta modular com componentes reutilizáveis, shells interativos e recursos para evadir ferramentas de antivírus e outros mecanismos de segurança. O suporte a um fallback de C2 baseado em Ethereum é um indicativo da sofisticação crescente e da resiliência da ferramenta contra tentativas de derrubada.

Risco persistente para as organizações

Para organizações na mira de grupos de ciberespionagem como o Dark Caracal, o maior risco frequentemente está no estabelecimento e na manutenção de um acesso persistente e não detectado no ambiente alvo. O objetivo nem sempre é roubar dados imediatamente, mas reunir inteligência silenciosa sobre as pessoas, operações e relacionamentos da organização para uso em ataques futuros. A Arctic Wolf disponibilizou indicadores de comprometimento e outras informações que podem ser utilizadas para buscar ou detectar sinais de atividade maliciosa associada ao Dark Caracal.

Com informações de: Dark Reading