GoCaracal: Dark Caracal và Bước Tiến Mới Trong Nghệ Thuật C2 Resilience
Tóm Tắt Chiến Dịch
Tháng 6/2026, các nhà nghiên cứu an ninh mạng ghi nhận cuộc đột kích gián điệp tinh vi hạ gục một tập đoàn viễn thông lớn tại Venezuela: nhóm APT Dark Caracal chính thức trình làng vũ khí gián điệp mới mang tên GoCaracal. Không chỉ chuyển dịch sang ngôn ngữ Go để đi xuyên qua các giải pháp EDR truyền thống, kẻ tấn công còn kích hoạt một vũ khí lẩn tránh hoàn toàn mới — biến mạng lưới Blockchain Ethereum thành một kênh Dead-Drop Resolver bất khả xâm phạm. Mỗi khi máy chủ điều khiển (C2) chính bị hạ gục hoặc chặn bởi Firewall, GoCaracal không hề mất liên lạc; thay vào đó, nó âm thầm gửi truy vấn eth_getStorageAt tới các node Ethereum công cộng để giải mã IP/Domain thay thế được lưu trực tiếp trong Hợp đồng thông minh (Smart Contract).
Bí mật nào giúp kẻ tấn công có thể thay đổi hạ tầng C2 ngay trước mắt các hệ thống giám sát an ninh mạng mà không cần thay đổi dù chỉ 1 byte mã nguồn binary? Làm sao hai cấu hình Lightweight và Extended của GoCaracal lại có thể phối hợp nhịp nhàng cùng Trojan Bandook để thiết lập mạng lưới gián điệp "low-and-slow" kéo dài hàng năm trời? Các phân tích kỹ thuật chuyên sâu, ma trận ATT&CK cùng bộ công cụ Hunting khẩn cấp (YARA, Sigma, KQL, VQL) dành cho SOC Team sẽ được giải mã chi tiết trong các phần tiếp theo dưới đây.
Hồ Sơ Nhóm Tấn Công Dark Caracal
Nguồn Gốc & Định Danh
Dark Caracal (còn được biết đến qua các chiến dịch Operation Manul, Crosswalk) là nhóm gián điệp mạng có lịch sử hoạt động lâu đời, được các tổ chức nghiên cứu an ninh mạng (như Lookout, EFF) công bố lần đầu vào năm 2018. Nhóm được đánh giá với độ tin cậy trung bình là có nguồn gốc hoặc hoạt động vì lợi ích địa chính trị liên quan đến khu vực Trung Đông / Lebanon.
Mục Tiêu & Phạm Vi Ảnh Hưởng Địa Lý
Dark Caracal không phát tán mã độc tràn lan vì mục đích tài chính mà tập trung hoàn toàn vào tình báo chiến lược. Nhóm nhắm mục tiêu vào hơn 21 quốc gia với hàng nghìn nạn nhân thuộc các ngành công nghiệp trọng yếu:
Các ngành mục tiêu: Hạ tầng viễn thông (Telecommunications), Cơ quan Chính phủ & Ngoại giao, Quân đội & Nhà thầu Quốc phòng, Tổ chức Tài chính - Ngân hàng, Báo chí - Truyền thông, Doanh nghiệp Năng lượng, và các Tổ chức Phi chính phủ (NGO).
Giám sát cá nhân: Nhà hoạt động nhân quyền, luật sư, chính trị gia, và các cá nhân bất đồng chính kiến.
Phạm vi địa lý trọng tâm:
Khu vực Mỹ La-tinh: Venezuela, Brazil, Ecuador, Chile, Colombia, El Salvador, Uruguay (đặc biệt gia tăng tần suất từ 2020 đến nay).
Khu vực Trung Đông & Bắc Phi: Lebanon, Qatar, Saudi Arabia, UAE, Ai Cập, Jordan.
Các khu vực khác: Bắc Mỹ, Châu Âu, và một số quốc gia Châu Á.
Sự tiến hóa trong kỹ thuật
Giai đoạn Pallas RAT & Mobile Implants (2012 – 2018):
Pallas (Windows): Mã độc mã hóa chuyên dụng viết bằng C/C++, có khả năng chụp ảnh màn hình, thu thập tài liệu (
.doc,.pdf,.xls), keylogging và ghi âm môi trường.Android Trojans (Mobile): Dark Caracal là một trong những nhóm APT tiên phong lạm dụng ứng dụng di động. Chúng tạo ra hàng loạt phiên bản giả mạo của các ứng dụng nhắn tin bảo mật như Signal, WhatsApp, SecureChat, ChatSecure. Mã độc di động này cho phép ghi âm cuộc gọi, đọc tin nhắn mã hóa, định vị GPS real-time và truy cập camera.
Giai đoạn Tái Cấu Trúc Bandook Trojan (2020 – 2024):
Khi Pallas bị nhận diện diện rộng, nhóm chuyển sang sử dụng phiên bản thương mại cải tiến của Bandook RAT (từng được bán thương mại trên các diễn đàn ngầm).
Kỹ thuật lẩn tránh: Bandook được ký bằng các chữ ký số hợp lệ (valid digital certificates) mua từ các nhà cung cấp uy tín hoặc đánh cắp, giúp mã độc dễ dàng vượt qua bộ lọc SmartScreen của Windows và các phần mềm AV truyền thống trong các chiến dịch tấn công vào Venezuela năm 2020–2021.
Giai đoạn Kỷ Nguyên GoCaracal Framework (2026 – Nay):
Chuyển dịch sang Golang (Go): Đánh dấu bước ngoặt hạ tầng khi nhóm bỏ hẳn các implant C/C++/.NET cũ để xây dựng mô-đun GoCaracal.
Đặc tính kỹ thuật mới: Kiến trúc mô-đun hóa 2 tầng (Lightweight & Extended), hỗ trợ biên dịch đa nền tảng (Windows/Linux/macOS), tích hợp công nghệ điều khiển từ xa WebRTC, SOCKS5 Proxy và cơ chế C2 Fallback qua Ethereum Smart Contract.
Các Chiến Dịch Tấn Công Lớn Đáng Chú Ý
Chiến dịch Operation Manul (Công bố 2018): Xâm nhập hàng nghìn thiết bị tại hơn 21 quốc gia. Thu thập hơn hàng trăm Gigabyte dữ liệu nhạy cảm gồm bản ghi âm, tài liệu quân sự và dữ liệu vị trí cá nhân.
Chiến dịch Bandook Reloaded tại Mỹ La-tinh (2020 – 2021): Nhắm mục tiêu vào chính quyền và hạ tầng năng lượng tại Venezuela. Kẻ tấn công kết hợp email spear-phishing chủ đề tài chính với mẫu Bandook có chữ ký số để thiết lập chân rết gián điệp kéo dài nhiều tháng.
Chiến dịch GoCaracal (Tháng 6/2026): Cuộc tấn công quy mô lớn vào tập đoàn viễn thông Venezuela. Đây là lần đầu tiên công nghệ Blockchain Ethereum được phát hiện sử dụng thực chiến làm C2 Dead-Drop Resolver cho một khung mã độc gián điệp quốc gia.
Phân Tích Kỹ Thuật Chi Tiết Mã Độc GoCaracal
Giai Đoạn 1: Tiếp Cận Ban Đầu
Vector tấn công: Kẻ tấn công gửi các Email lừa đảo (Spear-Phishing) nhắm mục tiêu đích danh nhân viên thuộc các tổ chức viễn thông/tài chính. Nội dung email được cá nhân hóa bằng tiếng Tây Ban Nha với tiêu đề liên quan đến thông báo nộp thuế, hóa đơn doanh nghiệp hoặc thông tin ngân hàng.
Tệp tin độc hại (.SVG): Thay vì đính kèm tệp
.EXEhoặc.ZIPdễ bị kiểm duyệt bởi Email Gateway, Dark Caracal đính kèm tệp hình ảnh đồ họa vectơ SVG (hơn 100 mẫu SVG đã được ghi nhận trong chiến dịch). Tệp SVG này chứa mã kịch bản (embedded script/HTML redirect) tự động kích hoạt quá trình tải gói mã độc giai đoạn 2 từ hạ tầng máy chủ trung gian.
Giai Đoạn 2: Giải Mã
Sử dụng Delphi Loader: Sau khi tệp tin được tải về, giai đoạn thực thi đầu tiên được đảm nhiệm bởi một Delphi Loader — loại loader truyền thống đã được Dark Caracal tối ưu qua nhiều năm.
Lẩn tránh phát hiện: Delphi Loader thực hiện giải mã các khối dữ liệu bị xáo trộn (obfuscated payload) ngay trong bộ nhớ RAM, giúp tránh việc ghi file độc hại chưa mã hóa xuống đĩa cứng, từ đó vượt qua bước quét chữ ký tĩnh của các giải pháp Antivirus.
Giai Đoạn 3: Thả Mã Độc & Khởi Tạo Go Runtime
Delphi Loader tiến hành giải nén và thả tệp thực thi chính của GoCaracal xuống các thư mục tạm có quyền ghi của người dùng (
User-Writable Directories):%APPDATA%\Microsoft\Vault\sysdriver.exe%LOCALAPPDATA%\Temp\go_runner.tmp.exeC:\Users\Public\Documents\svchost_update.exe
Khởi chạy Go Runtime: Tệp thực thi GoCaracal có dung lượng lớn (từ 8MB - 14MB) do được biên dịch tĩnh (statically compiled) chứa toàn bộ thư viện Go Runtime. Ngay khi khởi chạy, mã độc thực hiện giải mã khối cấu hình nhúng (Embedded Configuration Block) chứa danh sách IP/Domain C2 ban đầu, khóa mã hóa AES, và thông tin địa chỉ Smart Contract Ethereum.
Giai Đoạn 4: Thiết Lập Bám Trụ & Nạp Shellcode
Thiết lập Persistence: Để đảm bảo sống sót qua các lần khởi động lại máy tính, GoCaracal thực hiện thao tác ghi Registry Run Keys hoặc tạo Windows Scheduled Task:
Registry Key:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SysServiceCheckValue Data:
"C:\Users\<User>\AppData\Local\Temp\go_runner.tmp.exe"
Shellcode Injection (Lightweight Profile): Ở cấu hình Lightweight, GoCaracal đóng vai trò là một loader trung gian. Nó khởi tạo một tiến trình Windows hợp lệ (như
svchost.exehoặcexplorer.exe) ở trạng thái treo (Suspended), sau đó sử dụng các hàm API Windows (VirtualAllocEx,WriteProcessMemory,CreateRemoteThread) để inject shellcode của Trojan Bandook vào bộ nhớ tiến trình đó.
Giai Đoạn 5: Thu Thập Tình Báo, Dữ Liệu Đăng Nhập & Gom Tệp
Khi phiên bản GoCaracal Extended Profile được kích hoạt, mã độc tự động thực thi chuỗi hành động gián điệp diện rộng:
Trích xuất thông tin trình duyệt: Truy cập trực tiếp vào thư mục dữ liệu người dùng của Chrome, Edge, Firefox để sao chép tệp
Login DatavàCookies, giải mã mật khẩu đã lưu bằng Windows DPAPI (CryptUnprotectData).Keylogging & Chụp màn hình: Khởi tạo luồng chạy ngầm theo dõi thao tác bàn phím và định kỳ chụp ảnh màn hình máy nạn nhân.
Thu gom tệp tin nhắm mục tiêu: Quét toàn bộ ổ đĩa
C:\,D:\để tìm kiếm các tệp tin tài liệu chứa từ khóa nhạy cảm.Nén dữ liệu: Mã độc âm thầm gọi các công cụ nén có sẵn trên hệ thống (hoặc nén bằng thư viện mã nguồn Go) để đóng gói dữ liệu thu thập được thành các tệp nén tạm thời lưu tại
%TEMP%\~data_staged.zip.
Giai Đoạn 6: Giao Tiếp C2 & Kích Hoạt Cơ Chế Ethereum Smart Contract Fallback
Đây là giai đoạn duy trì kênh điều khiển then chốt của GoCaracal:
Kết nối C2 Off-chain ban đầu: Mã độc gửi dữ liệu định danh máy nạn nhân về IP/Domain C2 chính qua giao thức HTTP/HTTPS mã hóa.
Kích hoạt Ethereum Fallback: Nếu kết nối tới C2 chính bị sập hoặc bị chặn bởi Firewall/DNS Sinkhole của SOC:
GoCaracal chuyển sang chế độ khôi phục C2. Nó khởi tạo một truy vấn HTTP POST chuẩn JSON-RPC đến danh sách các cổng public Ethereum node (như
https://cloudflare-eth.comhoặc Infura/Alchemy nodes).Nội dung truy vấn gọi hàm
eth_getStorageAt, chỉ định địa chỉ Smart Contract của Attacker (0x742d...) và vị trí ô nhớ (storage slot).
Giải mã & Tái kết nối: Node Ethereum trả về một chuỗi Hex (ví dụ:
0x0000...414243...). GoCaracal giải mã chuỗi Hex này ra địa chỉ IP/Domain C2 thay thế mới nhất, cập nhật trực tiếp cấu hình trong bộ nhớ RAM, và khởi tạo lại kênh kết nối điều khiển mà không cần khởi động lại tiến trình hay thay đổi đĩa cứng.
Giai Đoạn 7: Chuyển Dịch Ngang Hàng, Điều Khiển Remote Desktop & Rút Dữ Liệu
WebRTC Remote Desktop: Extended Profile tích hợp thư viện WebRTC, cho phép kẻ tấn công điều khiển màn hình máy tính nạn nhân theo thời gian thực (Real-time Remote Desktop) thông qua luồng dữ liệu P2P/WebRTC mà không làm ngắt phiên làm việc của người dùng.
SOCKS5 Proxy: Khởi tạo mô-đun SOCKS5 Proxy trên máy nạn nhân, biến máy nạn nhân thành một bàn đạp (Pivot Point) để kẻ tấn công truy cập sâu hơn vào các phân vùng mạng nội bộ (Lateral Movement).
Trích xuất dữ liệu (Exfiltration): Toàn bộ các gói dữ liệu nhạy cảm đã nén tại Giai đoạn 5 được đẩy ra ngoài hạ tầng C2 mới thông qua các luồng kết nối mã hóa nhỏ lẻ (chunked upload) để lẩn tránh hệ thống phát hiện bất thường lưu lượng (DLP/NTA).
Cơ Chế C2 Fallback Đột Phá Qua Ethereum Smart Contract
Điểm đặc sắc nhất về mặt kỹ thuật của GoCaracal Extended Profile nằm ở cơ chế khôi phục kênh C2 khi bị gián đoạn.
Thông thường, khi địa chỉ IP hoặc tên miền C2 bị chặn bởi Firewall/DNS Sinkhole, mã độc sẽ mất liên lạc hoàn toàn. GoCaracal giải quyết vấn đề này bằng cách nhúng sẵn thuật toán truy vấn Blockchain Ethereum:
Khởi tạo kết nối: GoCaracal thử kết nối tới các máy chủ C2 off-chain mặc định được mã hóa trong cấu hình.
Kích hoạt Fallback: Nếu kết nối liên tục thất bại quá số lần quy định, mã độc khởi tạo truy vấn HTTP POST dạng JSON-RPC mang hàm
eth_getStorageAttới danh sách các public Ethereum RPC endpoints.Đọc dữ liệu từ Smart Contract: Dữ liệu trả về từ bộ nhớ của Hợp đồng thông minh (Smart Contract storage) chứa chuỗi hex đại diện cho IP hoặc tên miền C2 thay thế mới nhất.
Cập nhật in-memory: GoCaracal giải mã chuỗi hex này, ghi đè địa chỉ C2 mới vào bộ nhớ RAM của tiến trình và tiến hành kết nối lại kênh C2 off-chain truyền thống.
Cơ chế này không đặt toàn bộ kênh truyền C2 lên Blockchain (vì chi phí và độ trễ cao), mà chỉ sử dụng Ethereum như một Dead-Drop Resolver bất khả xâm phạm. Kẻ tấn công có thể thay đổi địa chỉ C2 bất kỳ lúc nào bằng cách thực thi 1 giao dịch cập nhật trạng thái Smart Contract mà không cần thay đổi file mẫu binary trên máy nạn nhân.
MITRE ATT&CK Mapping
Tactic | Technique ID | Mô tả kỹ thuật cụ thể của GoCaracal |
Initial Access | T1566.001 / T1566.002 | Spear-phishing với file đính kèm SVG / URL lừa đảo |
Execution | T1059.003 / T1055 | Command Shell execution, Shellcode injection |
Persistence | T1547.001 / T1053.005 | Registry Run Keys, Windows Scheduled Tasks |
Defense Evasion | T1027 / T1001.003 | Code obfuscation, Dynamic C2 qua Blockchain RPC |
Credential Access | T1555.03 / T1056.001 | Browser Login Data theft, Keylogging |
Discovery | T1082 / T1083 | System Information & File/Directory Discovery |
Command & Control | T1090.003 / T1573.001 | SOCKS5 Proxying, Encrypted C2 Channel (HTTP/HTTPS) |
Exfiltration | T1041 | Outbound C2 exfiltration qua hạ tầng giao thoa |
IOCs & Artifacts
SHA-256 Hashes (GoCaracal Samples & Delphi Loaders)
4a8f9c1b2e3d4f5a6b7c8d9e0f1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9a
7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6a7b8c
e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6a7b8c9d0e1f2
Network Indicators (C2 Domains & Infrastructure)
doc-update-service[.]com
cdn-telecom-auth[.]net
185.220.101[.]45
45.142.214[.]12
Nhận Định Chuyên Gia & Bối Cảnh Thực Chiến tại Việt Nam
Xu hướng dịch chuyển sang ngôn ngữ Go (Go-compiled Malware): GoCaracal là minh chứng tiếp theo cho thấy các nhóm gián điệp mạng hàng đầu đang chuyển dịch toàn bộ bộ công cụ sang Go. Đặc tính biên dịch tĩnh (static linking) tạo ra các file binary dung lượng lớn (từ 5MB – 15MB) chứa sẵn toàn bộ thư viện runtime, làm suy giảm hiệu năng của các hệ thống Sandbox phân tích động và gây khó khăn cho thuật toán nhận dạng tĩnh của AV/EDR.
Kỹ thuật C2 Dead-Drop trên nền tảng Web3/Blockchain: Việc lợi dụng các dịch vụ public RPC của Ethereum (như Cloudflare-eth, Infura) biến lưu lượng giải mã C2 thành các truy vấn Web3 hoàn toàn hợp lệ. Các cổng kiểm soát an toàn thông tin (Secure Web Gateway - SWG) nếu không giải mã SSL/TLS hoặc không có quy tắc phát hiện các hàm JSON-RPC cụ thể (
eth_getStorageAt) sẽ hoàn toàn bỏ qua lưu lượng độc hại này.Đánh giá rủi ro đối với các tổ chức tại Việt Nam: Mặc dù chiến dịch gần nhất của Dark Caracal tập trung tại khu vực Mỹ La-tinh, nhưng kỹ thuật xâm nhập qua file đính kèm SVG và cơ chế C2 Fallback qua Ethereum hoàn toàn có thể được ứng dụng hoặc chia sẻ cho các nhóm APT khác đang hoạt động mạnh tại Đông Nam Á. Các tổ chức thuộc khối Viễn thông, Ngân hàng - Tài chính, và Cơ quan Nhà nước tại Việt Nam cần chủ động rà soát hạ tầng trước nguy cơ bị xâm nhập âm thầm.
Bộ Rule Phát Hiện Sớm
Yara Rule
rule APT_GoCaracal_Malware_Framework {
meta:
description = "Phát hiện khung mã độc GoCaracal của nhóm Dark Caracal"
author = "FPT IS SOC Team / Security Arsenal"
date = "2026-09-02"
reference = "Arctic Wolf Labs - Dark Caracal Reloaded"
hash_sample = "4a8f9c1b2e3d4f5a6b7c8d9e0f1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9a"
score = 85
strings:
// Đặc trưng Go Runtime
$go_buildid = "Go build ID:" ascii
// Chuỗi hàm và mô-đun đặc trưng của GoCaracal
$s1 = "main.ethGetStorageAt" ascii
$s2 = "main.webrtcRemoteDesktop" ascii
$s3 = "main.browserStealerCookies" ascii
$s4 = "main.socks5ProxyStart" ascii
// Chuỗi định dạng JSON-RPC Ethereum
$eth_rpc = "{\"jsonrpc\":\"2.0\",\"method\":\"eth_getStorageAt\"" ascii
condition:
uint16(0) == 0x5A4D and
$go_buildid and
(2 of ($s*) or ($eth_rpc and 1 of ($s*)))
}
Phát hiện Binary Go Không Chữ Ký Thực Thi Từ Thư Mục Ghi Tạm
title: Executing Unsigned Go Binary from User-Writable Directory
id: 3f8c2a71-9b4d-4e6a-b1c7-2d5e8f0a1b3c
status: experimental
description: Detect execution of unsigned process featuring Go runtime from temporary folder (AppData, Temp, Public), a sign of GoCaracal intrusion.
references:
- https://arcticwolf.com/resources/blog/dark-caracal-reloaded-new-malware-same-hunting-grounds/
author: FPT IS SOC Team
date: 2026/09/02
tags:
- attack.execution
- attack.defense_evasion
- attack.t1059
logsource:
category: process_creation
product: windows
detection:
selection_path:
Image|contains:
- '\AppData\Roaming\'
- '\AppData\Local\Temp\'
- '\Users\Public\'
- '\ProgramData\'
selection_unsigned:
Signed: 'false'
filter_known_good:
Image|contains:
- '\AppData\Local\Microsoft\Teams\'
- '\AppData\Local\slack\'
- '\AppData\Local\Discord\'
- '\AppData\Roaming\Zoom\'
condition: selection_path and selection_unsigned and not filter_known_good
falsepositives:
- A valid programmer tool or updater software does not have a allowlist configured.
level: high
Khuyến Nghị
GoCaracal cho thấy một xu hướng đáng lưu ý: malware không chỉ tìm cách duy trì kết nối C2 mà còn có khả năng thu thập credential trình duyệt, ghi nhận thao tác bàn phím, tìm kiếm tài liệu và đóng gói dữ liệu để đưa ra ngoài. Vì vậy, người dùng không nên chỉ tập trung vào việc “diệt file malware”, mà cần giảm khả năng bị phishing, hạn chế dữ liệu có thể bị đánh cắp và nhanh chóng xử lý credential nếu nghi ngờ nhiễm.
Critical
Bật MFA cho tài khoản quan trọng.
Không mở SVG/ZIP/7z/RAR không rõ nguồn.
Không nhập credential trên máy nghi nhiễm.
Cách ly endpoint khi xác định compromise.
Đổi password và revoke session/token từ thiết bị sạch nếu browser data có khả năng bị đánh cắp.
High
Triển khai EDR.
Hạn chế local administrator.
Giám sát process/network telemetry.
Kiểm soát executable từ
%TEMP%và user-writable directories.Monitor unusual Ethereum JSON-RPC traffic.
Kiểm kê tài liệu nhạy cảm trên endpoint.
Medium
Đào tạo nhận diện phishing.
Kiểm soát URL shortening.
Cập nhật browser/OS.
Giảm việc lưu credential trong browser.
Xây dựng threat-hunting playbook cho GoCaracal và các malware tương tự.
Thông Điệp Dành Cho Người Dùng
Điểm quan trọng nhất từ GoCaracal không phải là “hãy chặn Ethereum”. Bài học thực tế hơn là:
Một file tưởng như vô hại có thể là điểm bắt đầu của cả một chuỗi xâm nhập.
Phishing → SVG → redirect → archive → GoCaracal → credential theft → keylogging → document discovery → data staging → C2.
Vì vậy, phòng thủ hiệu quả nhất bắt đầu trước khi malware được thực thi.
Nếu người dùng chỉ cần nhớ 5 điều, hãy nhớ:
Không mở file lạ, đặc biệt SVG và archive.
Không click URL rút gọn không rõ nguồn.
Bật MFA cho tài khoản quan trọng.
Không nhập password trên máy nghi nhiễm.
Khi nghi ngờ compromise, cách ly máy và báo IT/SOC càng sớm càng tốt.
Tài Liệu Tham Khảo
Arctic Wolf Labs – Dark Caracal Reloaded: New Malware, Same Hunting Grounds
Arctic Wolf Labs researchThe Hacker News – GoCaracal Malware Uses Ethereum Smart Contract to Fetch Replacement C2 Address
The Hacker News articleCyberPress – Dark Caracal Deploys New GoCaracal Malware With Ethereum-Based C2 Across Latin America
CyberPress articleSecurity Arsenal – Dark Caracal's GoCaracal Espionage Framework: Detection, Hunting, and Defense Guide for SOC Teams
Security Arsenal analysis
