고캐러칼, 이더리움 저장값으로 지휘통제 복구 시도

고 기반 악성코드 프레임워크 고캐러칼(GoCaracal)이 이더리움(ETH) 스마트컨트랙트 저장값을 대체 지휘통제(C2) 서버 주소 확인에 쓴 사례가 공개됐다. 이더리움 자체 취약점이 아니라 공개 블록체인 인프라의 표준 조회 기능이 악성코드 운영에 악용된 사례다.

아틱울프 랩스(Arctic Wolf Labs)는 26일 보고서에서 2026년 6월 베네수엘라의 한 통신 조직 침투를 조사하던 중 고캐러칼을 확인했다고 밝혔다. 회사는 이 활동을 사이버 첩보 그룹 다크캐럴(Dark Caracal)과 중간 수준 확신으로 연결했다.

핵심은 확장형 고캐러칼의 복구 구조다. 악성코드는 기본 C2 서버 접속에 반복적으로 실패하면 공개 이더리움 JSON-RPC 엔드포인트에 eth_getStorageAt 요청을 보낸다. 이후 지정된 스마트컨트랙트 저장값에서 대체 C2 주소를 읽고, 이를 메모리 설정에 반영해 통신을 다시 시도한다.

이더리움 개발자 문서는 eth_getStorageAt를 특정 주소의 저장 위치 값을 반환하는 JSON-RPC 메서드로 설명한다. 정상 애플리케이션이 온체인 데이터를 읽을 때 쓰는 표준 기능이 공격자의 구성 채널로도 쓰일 수 있음을 보여준 사례다.

다만 이 구조를 이더리움에 C2 전체가 올라간 방식으로 해석하면 사실과 다르다. 아틱울프는 전체 명령·제어 채널이 이더리움에 놓인 것은 아니며, 블록체인은 바뀐 서버 주소를 배포하는 백업 경로에 가깝다고 설명했다. 회사는 실제 재연결 성공 사례는 확인하지 못했다고 적었다.

보고서에 등장한 스마트컨트랙트 이름은 BulletproofC2였다. 이 계약은 하나의 변경 가능한 C2 값을 저장하고, 배포자만 값을 갱신할 수 있게 설계됐다. 아틱울프는 거래 기록상 저장값이 공인 IP 주소로 바뀐 정황을 확인해 이 기능이 단순 휴면 코드가 아니었다고 봤다.

고캐러칼은 경량형과 확장형 두 프로필로 나뉜다. 경량형은 원격 쉘, 추가 페이로드 실행, 쉘코드 주입 등 초기 접근과 도구 전달에 쓰였다. 확장형은 파일 관리, 브라우저 자격 증명 수집, 키로깅, WebRTC 기반 원격 데스크톱, SOCKS5 프록시, 지속성 확보 기능을 포함했다.

아틱울프는 관련 샘플 249개를 분석해 고캐러칼이 2026년 1월부터 7월 사이 초기 접근 도구에서 모듈형 침투 프레임워크로 발전했다고 설명했다. 같은 침투에서는 기존 악성코드 Bandook도 함께 확인됐다. 회사는 고캐러칼이 Bandook을 곧바로 대체했다기보다 기존 툴체인을 보완하는 단계로 봤다.

전달 방식도 기존 다크캐럴 캠페인과 닮았다. 원본 피싱 메일과 악성 SVG 첨부파일은 회수되지 않았지만, 스페인어 금융·세무형 미끼, URL 단축 서비스, 문서형 호스팅 인프라, 100개가 넘는 관련 SVG 파일이 같은 전달 경로를 뒷받침했다.

다크캐럴은 과거 정부, 기업, 언론인, 활동가 등을 겨냥한 사이버 첩보 활동으로 알려진 그룹이다. 이번 보고서의 귀속은 중간 수준 확신에 그친다. 보안 업계에서 이 표현은 기술 흔적과 작전 방식이 맞물리지만 법적 사실처럼 단정하기는 어렵다는 의미로 쓰인다.

이번 사례의 의미는 가격이나 투자 흐름보다 인프라 보안 쪽에 있다. 스마트컨트랙트와 JSON-RPC 같은 공개 기능은 정상 애플리케이션의 기본 도구지만, 공격자는 같은 기능을 C2 복구와 인프라 전환에 쓸 수 있다. 블록체인 네트워크가 열려 있다는 특성이 악성 인프라의 은닉성과 복원력을 높이는 데 활용될 수 있다는 점이 보안 실무의 관찰 대상이다.

국내 이용자에게도 이 사안은 직접적인 시세 재료보다 지갑과 접속 환경 보안 문제로 이어진다. 악성코드는 거래소나 지갑 서비스의 취약점이 없어도 피싱 문서, 단축 URL, 원격 실행 도구를 통해 이용자 단말에 들어갈 수 있다.

아틱울프는 보고서와 함께 YARA 규칙, 해시, 도메인, IP, 이더리움 계약 주소 등 공개 침해지표를 제시했다. 다만 공개 목록은 대표값이며 전체 세트는 고객에게 제공된다고 밝혔다.

공개 위협 인텔리전스 트래커 Mallory의 고캐러칼 항목은 30일 언급량 1건, 'Not currently trending'으로 표시됐다. 대중적 확산 이슈라기보다 보안 실무층이 추적하는 위협 사례에 가깝다는 평가가 나온다.

이번 보고서는 공개 블록체인 기능을 악성코드 인프라의 보조 채널로 감시해야 한다는 과제를 남겼다. 아틱울프는 고캐러칼 관련 YARA 규칙과 침해지표를 공개해 탐지와 대응에 활용할 수 있게 했다.