KREMLIN malware'i saldırı sunucularını güncellemek için Ethereum kullanıyor

Güvenlik araştırmacıları, saldırı altyapısını güncellemek için Ethereum akıllı sözleşmelerini ve kimlik bilgileri ile oturum verilerini çalmak için kötü amaçlı tarayıcı uzantılarını kullanan bir Brezilya bankacılık kampanyasını ortaya çıkardıktan sonra 1.500'den fazla KREMLIN kötü amaçlı yazılım bulaşmasını takip etti.

Elastic Security Labs, Mayıs 2025'ten bu yana REF9334 adı altında faaliyeti izledikten sonra 14 Eylül tarihli bir teknik raporda operasyonu ifşa etti. Araştırmacılar yaklaşık 15 ay boyunca yedi kampanyayı takip etti ve en son sürümleri tarayıcı kimlik bilgilerini, çerezleri, oturum belirteçlerini ve diğer hassas bilgileri toplama yeteneğine sahip Chrome ve Microsoft Edge uzantılarıyla ilişkilendirdi.

SlowMist, 16 Eylül'de operasyonun blok zinciri bileşenine, yani komuta ve kontrol altyapısını değiştirmekle bağlantılı üç Ethereum sözleşmesine dikkat çeken bir tehdit istihbaratı uyarısı yayınladı.

KREMLIN adına rağmen Elastic, kampanyayı Rusya'ya bağlayan hiçbir kanıt bulamadığını belirtti. Araç seti adı, kötü amaçlı yazılım yazarının rumuzundan gelirken, oltalama içerikleri Brezilya bankalarını taklit ediyor, Portekizce metinler kullanıyor ve ağırlıklı olarak Brezilya'da bulunan sistemlere ulaşıyor.