슬로우 미스트: KREMLIN 악성 소프트웨어가 이더리움 스마트 계약을 이용해 공격 인프라를 동적으로 업데이트하다

최근 느린 안개 모니터링에 따르면, 2025년 5월부터 활동 중인 브라질 은행 악성 소프트웨어 작전 REF9334가 공개되었습니다. 이 KREMLIN 악성 소프트웨어 생태계는 다단계 로더와 악성 브라우저 확장을 사용하여 자격 증명, 세션 토큰 및 민감한 데이터를 탈취합니다. 악성 확장은 Chromium 무결성 메커니즘을 우회하여 사용자 승인 없이 Chrome과 Edge에 설치될 수 있습니다. 여기에는 Secure Preferences, HMAC 및 App-Bound 암호화 해시가 포함됩니다.

이 작전은 이더리움 스마트 계약을 "사망 신호 해석기"로 사용하여 C2 엔드포인트와 페이로드 호스팅 위치를 동적으로 업데이트합니다. 네트워크 Canary 도메인 등록 후, 분석가들은 1515대의 감염된 호스트가 체크인하는 것을 관찰했으며, 그 중 98.75%가 브라질에 위치하고 있습니다. 느린 안개는 보안 팀이 관련 악성 소프트웨어, 브라우저 확장 활동 및 이 작전과 관련된 인프라를 모니터링할 것을 권장합니다.