Màn Sương: KREMLIN phần mềm độc hại lợi dụng hợp đồng thông minh Ethereum để cập nhật động cơ sở hạ tầng tấn công

Theo dõi của Slow Fog, một chiến dịch phần mềm độc hại ngân hàng Brazil có tên REF9334, hoạt động từ ít nhất tháng 5 năm 2025, đã được công bố gần đây. Hệ sinh thái phần mềm độc hại KREMLIN của nó sử dụng trình tải nhiều giai đoạn và tiện ích mở rộng trình duyệt độc hại để đánh cắp thông tin xác thực, mã phiên và dữ liệu nhạy cảm. Tiện ích mở rộng độc hại có thể được cài đặt vào Chrome và Edge mà không cần sự chấp thuận của người dùng bằng cách vượt qua cơ chế toàn vẹn Chromium, bao gồm Secure Preferences, HMAC và mã băm mã hóa App-Bound.

Chiến dịch này cũng sử dụng hợp đồng thông minh Ethereum như một "bộ giải mã tín hiệu chết", cập nhật động các điểm cuối C2 và vị trí lưu trữ tải trọng. Sau khi đăng ký tên miền Canary trên mạng, các nhà phân tích đã quan sát thấy 1515 máy chủ bị nhiễm đăng nhập, trong đó 98,75% nằm ở Brazil. Slow Fog khuyến nghị các đội ngũ an ninh theo dõi phần mềm độc hại liên quan, hoạt động tiện ích mở rộng trình duyệt và cơ sở hạ tầng liên quan đến chiến dịch này.