慢雾：KREMLIN 恶意软件利用以太坊智能合约更新攻击基础设施

BiRun 讯，慢雾发布安全预警，巴西银行恶意软件行动 REF9334 旗下的 KREMLIN 恶意软件生态系统近期被披露，该活动至少自 2025 年 5 月起活跃。该恶意软件通过多阶段加载器和恶意浏览器扩展窃取用户凭证、会话令牌及敏感数据，可在用户不知情的情况下绕过 Chromium 完整性机制（包括 Secure Preferences、HMAC 及 App-Bound 加密哈希），在 Chrome 和 Edge 浏览器中强制安装恶意扩展。值得关注的是，该行动将以太坊智能合约用作「dead-drop resolver」，动态更新 C2 端点和载荷托管地址，以提升基础设施的抗打击能力。研究人员注册网络 kill switch 后，观测到 1515 台受感染主机回连，其中 98.75% 位于巴西。