El malware KREMLIN utiliza Ethereum para actualizar servidores de ataque

Investigadores de seguridad han rastreado más de 1,500 infecciones del malware KREMLIN tras descubrir una campaña bancaria brasileña que utiliza contratos inteligentes de Ethereum para actualizar la infraestructura de ataque y extensiones de navegador maliciosas para robar credenciales y datos de sesión.

Elastic Security Labs reveló la operación en un informe técnico del 14 de septiembre tras rastrear la actividad bajo REF9334 desde mayo de 2025. Los investigadores siguieron siete campañas durante aproximadamente 15 meses y vincularon las versiones más recientes a extensiones de Chrome y Microsoft Edge capaces de recopilar credenciales de navegador, cookies, tokens de sesión y otra información sensible.

SlowMist emitió una alerta de inteligencia de amenazas el 16 de septiembre llamando la atención sobre el componente de blockchain de la operación, incluidos tres contratos de Ethereum vinculados al cambio de la infraestructura de comando y control.

A pesar del nombre KREMLIN, Elastic afirmó que no encontró pruebas que conecten la campaña con Rusia. El nombre del kit de herramientas proviene del seudónimo del autor del malware, mientras que los señuelos suplantan a bancos brasileños, utilizan texto en portugués y llegan mayoritariamente a sistemas ubicados en Brasil.