慢霧：KREMLIN惡意軟件利用以太坊智能合約動態更新攻擊基礎設施

據慢霧監測，一個自至少2025年5月起活躍的巴西銀行惡意軟件行動REF9334近日被披露。其KREMLIN惡意軟件生態使用多階段加載器和惡意瀏覽器擴展竊取憑證、會話令牌和敏感數據。惡意擴展可通過繞過Chromium完整性機制，包括Secure Preferences、HMAC和App-Bound加密哈希，在未經用戶批准的情況下安裝到Chrome和Edge中。該行動還使用以太坊智能合約作為「死信解析器」，動態更新C2端點和載荷托管位置。在注冊網絡Canary域名後，分析人員觀察到1515台受感染主機簽到，其中98.75%位於巴西。