慢霧：KREMLIN惡意軟體利用以太坊智能合約動態更新攻擊基礎設施

ChainCatcher 消息，据慢雾監測，一個自至少 2025 年 5 月起活躍的巴西銀行惡意軟體行動 REF9334 近日被披露。其 KREMLIN 惡意軟體生態使用多階段加載器和惡意瀏覽器擴展竊取憑證、會話令牌和敏感數據。惡意擴展可通過繞過 Chromium 完整性機制，包括 Secure Preferences、HMAC 和 App-Bound 加密哈希，在未經用戶批准的情況下安裝到 Chrome 和 Edge 中。

該行動還使用以太坊智能合約作為"死信解析器"，動態更新 C2 端點和載荷托管位置。在註冊網絡 Canary 域名後，分析人員觀察到 1515 台受感染主機簽到，其中 98.75% 位於巴西。慢雾建議安全團隊監控相關惡意軟體、瀏覽器擴展活動及與該行動相關的基礎設施。