Malware už dávno nemusí spoléhat na jediný C2 server. Pokud obránce objeví jeho infrastrukturu a server odstaví, útočník může jednoduše změnit adresu a pokračovat dál. GoCaracal malware ukazuje ještě zajímavější přístup: záložní adresu svého C2 může získat z blockchainu.

Výzkumníci Arctic Wolf Labs v srpnu 2026 popsali nový modulární malware framework GoCaracal, který je napsaný v jazyce Go a je se střední mírou jistoty spojován se skupinou Dark Caracal. Objeven byl při vyšetřování červnového průniku u telekomunikační organizace ve Venezuele.

Nejzajímavější částí celého případu ale není samotný RAT. GoCaracal malware využívá Ethereum smart kontrakt jako záložní mechanismus pro získání C2 adresy. Blockchain tak neslouží jako plnohodnotný C2 kanál, ale jako odolný dead-drop resolver.

A právě v tom je tento případ zajímavý.

GoCaracal malware: nový nástroj spojovaný s Dark Caracal

Arctic Wolf Labs analyzoval 249 souvisejících vzorků a podle jejich analýzy lze sledovat vývoj GoCaracalu minimálně od ledna do července 2026.

Framework existuje ve dvou hlavních variantách. První je odlehčená a slouží především jako počáteční access implant. Druhá je výrazně vybavenější a poskytuje útočníkům nástroje pro dlouhodobou kontrolu kompromitovaného systému a sběr dat.

GoCaracal byl během červnového průniku nasazen společně s aktualizovanou verzí známého RATu Bandook.

Právě Bandook představuje jednu z hlavních vazeb na Dark Caracal.

Atribuce však není definitivní. Arctic Wolf ji hodnotí pouze se střední mírou jistoty. Jde tedy o analytický závěr založený na kombinaci technických a operačních charakteristik, nikoli o nezpochybnitelný důkaz identity útočníka.

Jak funguje GoCaracal malware?

GoCaracal je modulární framework napsaný v jazyce Go (Golang).

Odlehčená varianta umožňuje například profilování napadeného systému, zjišťování bezpečnostních produktů, komunikaci se serverem přes šifrovaný protokol, vzdálený shell, stahování a spouštění dalších payloadů nebo injekci shellcode.

Rozšířená varianta jde výrazně dál.

Obsahuje 34 handlerů rozdělených do několika oblastí. Malware dokáže:

• provádět průzkum systému,
• spouštět příkazy,
• aktualizovat nebo ukončit vlastní komponenty,
• stahovat soubory,
• krást cookies a přihlašovací údaje z prohlížečů,
• zaznamenávat stisky kláves,
• vyhledávat konkrétní soubory,
• poskytovat vzdálenou plochu přes WebRTC,
• vytvářet SOCKS5 proxy,
• manipulovat s registry kvůli persistence.

Zajímavá je také práce s Chrome. GoCaracal dokáže vytvořit skrytou relaci prohlížeče a klonovat do ní lokální profil Chrome.

Nejde tedy o jednoduchý downloader. GoCaracal malware představuje poměrně komplexní post-kompromitační nástroj.

Jak probíhá útok s malwarem GoCaracal?

Arctic Wolf původní phishingový e-mail ani SVG přílohu nezískal, takže část infekčního řetězce je rekonstruována z dostupných artefaktů. Výzkumníci však identifikovali více než stovku souvisejících SVG souborů komunikujících se stejným škodlivým hostitelem.

Rekonstruovaný řetězec vypadá následovně:

phishing → škodlivé SVG → zkrácená URL → útočníkův web → 7-Zip archiv → GoCaracal → další payloady

Phishingové zprávy používaly španělsky psané finanční nebo daňové návnady.

Po otevření SVG došlo k přesměrování na zkrácenou URL. Ta vedla přes další mezikrok na web pod kontrolou útočníků.

Následně byl doručen 7-Zip archiv obsahující například soubor tf-oficina004a.exe, tedy odlehčenou variantu GoCaracalu.

Po ní následoval Delphi loader s Bandookem a rozšířenou variantou GoCaracalu.

Podobný distribuční vzorec byl zaznamenán už dříve v aktivitách připisovaných Dark Caracalu. Kaspersky například v únoru 2026 popsal kampaň využívající finančně zaměřený phishing, škodlivé SVG soubory, zkracovače URL a Delphi loader s backdoorem AsioGate. Arctic Wolf ale nenašel důkaz, že by GoCaracal byl přímým nástupcem AsioGate.

GoCaracal malware a Ethereum: k čemu slouží smart kontrakt?

A teď přichází nejzajímavější část.

Rozšířená varianta GoCaracalu může mít kromě běžného HOST a PORT také volitelnou hodnotu CONTRACT.

Pokud komunikace s primárním C2 opakovaně selže, malware se pokusí získat novou adresu prostřednictvím Etherea.

Mechanismus je následující:

1. GoCaracal se nejprve pokusí připojit na primární C2.
2. Po opakovaném selhání odešle požadavek eth_getStorageAt na veřejný Ethereum JSON-RPC endpoint.
3. Z konkrétního storage slotu smart kontraktu načte uloženou hodnotu.
4. Pokud hodnota odpovídá validní C2 adrese, použije ji jako novou konfiguraci.
5. Následně se připojí k novému C2 běžným způsobem mimo blockchain.

To je důležitý detail.

Ethereum zde není samotným C2.

Blockchain pouze poskytne malwaru informaci, kam se má připojit.

BulletproofC2: blockchain jako záložní C2

Arctic Wolf identifikoval vlastní Solidity kontrakt pojmenovaný BulletproofC2.

Kontrakt uchovává jednu proměnlivou hodnotu a její změnu může provádět vlastník kontraktu. Historie transakcí ukázala, že hodnota byla měněna na veřejné IP adresy.

Stejná peněženka navíc nasazovala identické kontrakty nejprve na testovací síti Sepolia a následně na hlavní síti Ethereum.

Výhoda pro útočníka je jednoduchá.

Představme si, že obránci odstaví primární C2 server.

U klasického malwaru by útočník musel distribuovat novou verzi malwaru nebo nějakým jiným způsobem předat obětem novou adresu.

U GoCaracalu může stačit změnit hodnotu uloženou ve smart kontraktu.

Malware si ji při příštím použití fallbacku přečte a pokračuje na nové adrese.

Není proto potřeba měnit samotnou binárku.

Je GoCaracal malware skutečně EtherHiding?

GoCaracal zapadá do širšího trendu označovaného jako EtherHiding.

Technika byla veřejně popsána už v roce 2023 výzkumníky Guardio Labs. První známé případy využívaly blockchain například v kampaních ClearFake k ukládání škodlivých dat a payloadů.

Později se podobný princip objevil u dalších aktérů.

Google Threat Intelligence Group například popsala použití EtherHidingu aktérem UNC5342 v kampani Contagious Interview. V tomto případě byl blockchain využíván v rámci řetězce vedoucího k nasazení dalšího malwaru.

GoCaracal se od některých starších případů liší. Nejde primárně o JavaScriptový payload v prohlížeči nebo npm balíček. Jde o kompilovaný implantát v Go, který navíc používá eth_getStorageAt místo častějšího eth_call.

GoCaracal není první malware, který zneužívá blockchain

GoCaracal tak není izolovaný experiment.

V posledních letech se objevilo několik různých způsobů, jak blockchain využít jako součást škodlivé infrastruktury.

U některých kampaní sloužil k ukládání payloadů, jinde k získávání C2 adres.

Známým příkladem je EtherRAT, který podle analýz The DFIR Report, Hunt.io a eSentire využíval veřejné Ethereum RPC endpointy a eth_call k získávání rotujících C2 domén.

Podobný trend se objevil také v npm ekosystému. Výzkumníci z ReversingLabs, Socket, Phylum a Checkmarx popsali různé supply-chain kampaně, ve kterých byly Ethereum kontrakty využívány k distribuci nebo rozlišení škodlivého obsahu.

To je důležitý kontext.

Blockchain se pro útočníky může stát další vrstvou infrastruktury.

Proč je GoCaracal malware problém pro SOC?

Z pohledu obránce je největší problém v tom, že klasické IOC mohou rychle zestárnout.

IP adresa C2 se může změnit.

Doména se může změnit.

Adresa smart kontraktu se může změnit.

A samotný malware zůstane stejný.

Proto dává větší smysl hledat chování.

Například:

Proces, který není prohlížeč ani kryptoměnová peněženka, komunikuje s veřejným blockchainovým RPC endpointem.

Samo o sobě to ještě není důkaz infekce.

Ale pokud stejný proces:

• běží z %AppData%,
• je nepodepsaný,
• používá náhodně vypadající název,
• komunikuje s veřejným Ethereum RPC,
• následně se připojí na novou IP adresu,

máme podstatně zajímavější detekční řetězec.

Jak detekovat GoCaracal malware v Defender XDR?

Prvním krokem může být sledování odchozí komunikace na známé veřejné blockchainové RPC endpointy.

Například:

publicnode.com
drpc.org
1rpc.io
cloudflare-eth.com
ankr.com
llamarpc.com
blastapi.io
merkle.io
alchemy.com
infura.io
tenderly.co
flashbots.net
mevblocker.io

V prostředí Defender XDR lze začít například jednoduchým hunting dotazem:

DeviceNetworkEvents
| where RemoteUrl has_any (
    "publicnode.com","drpc.org","1rpc.io","cloudflare-eth.com",
    "ankr.com","llamarpc.com","blastapi.io","merkle.io",
    "alchemy.com","infura.io","tenderly.co","flashbots.net",
    "mevblocker.io","payload.de","getblock.io",
    "nodereal.io","bnbchain.org","binance.org"
)
| project Timestamp,
          DeviceName,
          AccountName,
          RemoteUrl,
          RemoteIP,
          InitiatingProcessFileName,
          InitiatingProcessCommandLine

Samotný hostname ale nestačí.

Je potřeba sledovat také proces, který komunikaci inicioval.

U GoCaracalu jde o samostatný Go executable, který se může nacházet v %AppData%\Roaming\<náhodný řetězec>\.

Hledejte eth_getStorageAt

Pokud prostředí umožňuje analyzovat obsah JSON-RPC požadavků, je možné hledat konkrétní metodu:

"method":"eth_getStorageAt"

To je pro GoCaracal zajímavý indikátor.

U jiných kampaní může být relevantní také:

"method":"eth_call"

Ideální je přitom sledovat také adresu smart kontraktu.

Je ale potřeba počítat s tím, že většina prostředí standardně nevidí tělo HTTPS požadavku. Proto by hostname a informace o iniciujícím procesu měly zůstat základním detekčním signálem.

Korelujte RPC komunikaci s novým C2

Ještě zajímavější je časová korelace.

Například:

primární C2 selhává → proces komunikuje s Ethereum RPC → proces naváže spojení s novou IP adresou

Právě tato sekvence může být velmi silným indikátorem.

U GoCaracalu se fallback aktivuje až po opakovaném selhání primárního C2, takže právě tato časová posloupnost dává detekci velkou hodnotu.

Jaké IOC pro GoCaracal malware sledovat?

Arctic Wolf zveřejnil referenční IOC, mezi které patří například distribuční domény:

getpdfdigital[.]cloud
getpdf[.]digital
visualizarpdf[.]online
contabilidad[.]icu
soportedigital[.]cloud
documentodigital[.]cloud
gestionadocs[.]me

Mezi identifikované Ethereum indikátory patří kontrakt:

0x03D605f13A74Bfb6149078122FcF62BD6d8799d8

a další identické kontrakty:

0x04aB453494381E60171BE04Ea6BE6E7C44EafAfd
0xD7635f31620772882a6712472a6278c53247Bc44
0xf165F26300BF65DFaC78BC9557326bDbB3C6d33C

Arctic Wolf rovněž zveřejnil hashe vzorků, C2 IP adresy, cesty na disku a YARA pravidlo targeted_DarkCaracal_GoCaracal_Lightweight_RAT.

Je však dobré zdůraznit, že jde o referenční IOC. Plná sada je podle reportu dostupná zákazníkům Arctic Wolf.

Co znamená GoCaracal malware pro kybernetickou bezpečnost?

GoCaracal ukazuje poměrně zajímavý posun v přemýšlení o C2 infrastruktuře.

Útočník nemusí mít blockchain jako hlavní komunikační kanál.

Stačí ho použít jako distribuovaný konfigurační bod.

Z pohledu obrany to znamená, že tradiční model:

najít C2 → zablokovat IP → odstavit server

nemusí stačit.

Pokud malware dokáže získat další adresu z veřejně dostupného blockchainu, může být jeho infrastruktura podstatně odolnější.

Zároveň ale není možné z toho vyvozovat, že každá komunikace s Ethereum RPC znamená malware. Legitimitní vývojářské, kryptoměnové a Web3 aplikace takovou komunikaci používají běžně.

Proto je potřeba sledovat kontext.

---

Závěr: GoCaracal malware ukazuje nový způsob přežití C2

GoCaracal malware není zajímavý jen jako další RAT.

Jeho skutečná zajímavost spočívá v tom, jak řeší problém, který útočníci řeší už dlouho: jak udržet komunikaci s kompromitovaným systémem i poté, co obránci objeví a zablokují C2 infrastrukturu.

GoCaracal k tomu využívá Ethereum smart kontrakt.

Nevede přes něj celý C2 provoz. Blockchain používá jako dead-drop resolver, ze kterého si v případě problémů přečte novou C2 adresu.

Je to malý technický detail s poměrně velkým dopadem.

A pro obránce z něj plyne jednoduchá lekce:

Nehledejte jen známé IP adresy a hashe. Sledujte také chování.

Podezřelý proces, který se z ničeho nic připojuje k veřejnému blockchainovému RPC a následně naváže spojení s novou C2 adresou, může být výrazně důležitější signál než samotný IOC.

Současně je potřeba zachovat určitou opatrnost. Atribuce GoCaracalu k Dark Caracal má pouze střední míru jistoty a veřejně dostupná analýza zatím neukazuje konkrétní oběť, u které by byl Ethereum fallback přímo pozorován v celé sekvenci až po úspěšné připojení k náhradnímu C2.

Právě proto je GoCaracal zajímavý nejen jako příběh o jednom malwaru, ale jako další ukázka toho, že C2 infrastruktura se pomalu přesouvá i do míst, která jsme donedávna vnímali jako čistě legitimní součást internetu.

---

Zdroje

• Arctic Wolf Labs – Dark Caracal Reloaded: New Malware, Same Hunting Grounds
  https://arcticwolf.com/resources/blog/dark-caracal-reloaded-new-malware-same-hunting-grounds/
• The Hacker News – GoCaracal Malware Uses Ethereum Smart Contract for C2 Fallback
  https://thehackernews.com/2026/08/gocaracal-malware-uses-ethereum-smart.html
• Google Threat Intelligence – DPRK Adopts EtherHiding: Nation-State Malware Hiding on Blockchains
  https://cloud.google.com/blog/topics/threat-intelligence/dprk-adopts-etherhiding
• Guardio Labs – EtherHiding: Hiding Web Malware in Blockchain Smart Contracts
  https://guard.io/labs/etherhiding-hiding-web-malware-in-blockchain-smart-contracts
• MITRE ATT&CK – T1102.001 Web Service: Dead Drop Resolver
  https://attack.mitre.org/techniques/T1102/001/
• Dodané analytické podklady k GoCaracalu, EtherHiding a souvisejícím kampaním.