KREMLIN 利用以太坊合约更新 C2 端点

该恶意软件将以太坊智能合约作为动态解析器，提升基础设施抗打击能力，98.75%受感染主机位于巴西。

据 Woofun AI 消息，巴西银行恶意软件行动 REF9334 旗下的 KREMLIN 恶意软件生态系统近期被披露，该活动至少自 2025 年 5 月起活跃。该恶意软件通过多阶段加载器和恶意浏览器扩展窃取用户凭证、会话令牌及敏感数据，可在用户不知情的情况下绕过 Chromium 完整性机制，在 Chrome 和 Edge 浏览器中强制安装恶意扩展。

该行动将以太坊智能合约用作 'dead-drop resolver'，动态更新 C2 端点和载荷托管地址，以提升基础设施的抗打击能力。研究人员注册网络 kill switch 后，观测到 1515 台受感染主机回连，其中 98.75% 位于巴西。