KREMLINマルウェア、Ethereumを利用して攻撃サーバーを更新

セキュリティ研究者は、攻撃インフラを更新するために Ethereum スマートコントラクトを使用し、資格情報やセッションデータを盗むために悪意のあるブラウザ拡張機能を使用する Brazil のバンキングキャンペーンを発見した後、1,500 件以上の KREMLIN マルウェア感染を追跡しました。

Elastic Security Labs は、2025 年 5 月から REF9334 として活動を追跡した後、9 月 14 日のテクニカルレポートでこの活動を公開しました。研究者は約 15 ヶ月にわたって 7 つのキャンペーンを追跡し、最新バージョンをブラウザの資格情報、クッキー、セッション・トークン、その他の機密情報を収集できる Chrome および Microsoft Edge の拡張機能に関連付けました。

SlowMist は 9 月 16 日に脅威インテリジェンス・アラートを発行し、コマンド＆コントロール（C2）インフラの変更に関連する 3 つの Ethereum コントラクトを含む、このオペレーションのブロックチェーン・コンポーネントに注意を喚起しました。

KREMLIN という名称にもかかわらず、Elastic はこのキャンペーンを Russia に結びつける証拠は見つからなかったと述べています。ツールキットの名称はマルウェア作成者のハンドルネームに由来しており、ルアー（おとり）は Brazil の銀行を装い、ポルトガル語のテキストを使用し、圧倒的に Brazil 国内にあるシステムに到達しています。

KREMLIN は Ethereum コントラクトを可変のアドレス帳として使用

Ethereum がこのオペレーションに導入されたのは 2026 年 5 月で、研究者が KREMLIN のインフラに関連付けられた最初の悪意のあるスマートコントラクトを観察した時でした。

Elastic は最初のコントラクトを 5 月 19 日まで遡りました。それは、感染したシステムをインストーラーや悪意のあるブラウザ拡張機能に使用される場所に誘導する設定値を保持していました。後のコントラクトでは構造が変更され、最終的にはオペレーターが更新できるキー・バリュー形式の設定モデルに移行しました。

Elastic によって特定された現在のコントラクトは 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b です。研究者によると、レポートが発表された時点でも使用されていたとのことです。以前のコントラクトには、0x902EDbFECFF38f285Bf26283fB9cEB3700061873 および 0x64Def0A6099c4DE9C413B108EAae85A3C7457615 が含まれていました。

これらのコントラクトは、Ethereum のコンセンサス・システムやスマートコントラクト・プラットフォームの脆弱性攻撃を意味するものではありません。Elastic は、攻撃者がブロックチェーンをデッドドロップ・リゾルバーとして使用していることを発見しました。感染したマシンは、コントラクトから設定値を読み取り、オペレーターによって制御または悪用されている外部インフラを特定します。