KREMLIN malware lợi dụng hợp đồng thông minh Ethereum để cập nhật động hạ tầng tấn công

Odaily đưa tin, theo giám sát của SlowMist, một chiến dịch mã độc ngân hàng Brazil có tên REF9334, hoạt động từ tháng 5 năm 2025, gần đây đã bị phát hiện. Hệ sinh thái mã độc KREMLIN của chiến dịch này thông qua bộ tải đa giai đoạn và tiện ích mở rộng trình duyệt độc hại để đánh cắp thông tin đăng nhập, token phiên và dữ liệu nhạy cảm, đồng thời có thể vượt qua cơ chế toàn vẹn của Chromium, cài đặt vào trình duyệt Chrome và Edge mà không cần sự chấp thuận của người dùng. Chiến dịch này còn sử dụng hợp đồng thông minh Ethereum như một "bộ phân giải thư chết", cập nhật động các điểm cuối C2 và vị trí lưu trữ payload. Sau khi các nhà phân tích đăng ký tên miền Canary, họ đã quan sát thấy 1515 máy chủ bị nhiễm điểm danh, trong đó 98,75% nằm ở Brazil.