تتبع باحثو الأمن أكثر من 1500 إصابة ببرنامج KREMLIN الضار بعد الكشف عن حملة مصرفية برازيلية تستخدم عقود إيثيريوم الذكية لتحديث البنية التحتية للهجوم وملحقات المتصفح الضارة لسرقة بيانات الاعتماد وبيانات الجلسة.

كشفت Elastic Security Labs عن العملية في تقرير فني بتاريخ 14 سبتمبر بعد تتبع النشاط تحت REF9334 منذ مايو 2025. تابع الباحثون سبع حملات على مدار 15 شهرًا تقريبًا وربطوا أحدث الإصدارات بملحقات Chrome و Microsoft Edge القادرة على جمع بيانات اعتماد المتصفح وملفات تعريف الارتباط ورموز الجلسة وغيرها من المعلومات الحساسة.

أصدرت SlowMist تنبيهًا استخباراتيًا للتهديد في 16 سبتمبر لفت الانتباه إلى مكون البلوكتشين للعملية، بما في ذلك ثلاثة عقود إيثيريوم مرتبطة بتغيير البنية التحتية للقيادة والتحكم.

على الرغم من اسم KREMLIN، قالت Elastic إنها لم تعثر على أي دليل يربط الحملة بروسيا. يأتي اسم مجموعة الأدوات من اسم المستخدم الخاص بكاتب البرامج الضارة، بينما تتنكر الطعمات في هيئة بنوك برازيلية، وتستخدم نصوصًا باللغة البرتغالية وتصل بشكل ساحق إلى أنظمة تقع في البرازيل.

KREMLIN يستخدم عقود إيثيريوم كدفاتر عناوين متغيرة

دخلت إيثيريوم العملية في مايو 2026، عندما لاحظ الباحثون أول عقد ذكي ضار مرتبط بالبنية التحتية لـ KREMLIN.

تتبعت Elastic العقد الأول حتى 19 مايو. وقد خزّن هذا العقد قيم التكوين التي توجه الأنظمة المصابة نحو المواقع المستخدمة للمثبت وملحق المتصفح الضار. غيّرت العقود اللاحقة الهيكل وانتقلت في النهاية إلى نموذج تكوين قيمة-مفتاح يمكن تحديثه بواسطة المشغل.

العقد الحالي الذي حددته Elastic هو 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b. قال الباحثون إنه ظل قيد الاستخدام عند نشر تقريرهم. تضمنت العقود السابقة 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 و 0x64Def0A6099c4DE9C413B108EAae85A3C7457615.

لا تمثل العقود استغلالًا لنظام إجماع إيثيريوم أو منصة العقود الذكية. وجدت Elastic أن المهاجمين استخدموا البلوكتشين كحل "لصناديق الموت" (dead-drop resolver): تقرأ الأجهزة المصابة قيم التكوين من العقود لتحديد موقع البنية التحتية الخارجية التي يتحكم فيها المشغلون أو يسيئون استخدامها.

يسمح هذا التصميم للمشغلين بتغيير مراجع البنية التحتية عن طريق تحديث القيم على السلسلة مع ترك البرامج الضارة الأولية دون تغيير. سجلت Elastic تحديثات للعقود تشير إلى نطاقات وملفات مستضافة مختلفة، بما في ذلك تغيير تكوين main-v2 في 13 أغسطس.

أفادت Crypto.news في عام 2025 أن حزم npm الضارة كانت تستخدم عقود إيثيريوم الذكية لاسترداد بنية تحتية للأوامر. وصف باحثو ReversingLabs نموذجًا مشابهًا حيث تحتوي بيانات البلوكتشين على مواقع تستخدم للوصول إلى خوادم يتحكم فيها المهاجمون.

وجدت Microsoft حملات ClickFix تستخدم عقود BNB Chain الذكية لاسترداد تعليمات البرامج الضارة. تضمنت نتائج Microsoft حملة منفصلة ولكنها أظهرت مثالًا آخر على استخدام سلاسل الكتل العامة كبنية تحتية لتكوين البرامج الضارة.

الملحقات الضارة يمكن أن تدخل Chrome و Edge دون موافقة

يستخدم مكون المتصفح في KREMLIN تقنية تسمح لملحق غير مصرح به بالظهور مسجلًا بشكل صحيح داخل المتصفحات القائمة على Chromium.

قالت Elastic إن المثبت يقوم بتعديل بيانات Secure Preferences في Chrome أو Edge ويُعيد إنشاء HMACs وتجزئات السلامة المشفرة التي يتوقعها المتصفح. بمجرد تطابق هذه القيم، يمكن للملحق الضار أن يتم تحميله حتى لو لم يوافق المستخدم مطلقًا على التثبيت من خلال متجر الملحقات الرسمي.

تسبق هذه التقنية نفسها حملة KREMLIN. وثقت شركة الأمن Synacktiv هذا النهج في عام 2025 تحت بحث بعنوان The Phantom Extension، مبينة كيف يمكن لمهاجم لديه وصول إلى نظام Windows تغيير سجلات تفضيلات Chromium وتحميل ملحق من خلال آليات المتصفح الداخلية.

قامت KREMLIN بتشغيل هذه التقنية للسرقة المالية. قامت الامتداد الذي حللته Elastic بالتنكر في هيئة برنامج يسمى AVSync وطلب الوصول إلى علامات التبويب وملفات تعريف الارتباط وتخزين المتصفح وطلبات الويب. كان يمكنه جمع بيانات المتصفح المحفوظة واعتراض المعلومات أثناء جلسات الويب النشطة.

تجمع البرامج الضارة قواعد بيانات المتصفح التي تحتوي على معلومات تسجيل الدخول وملفات تعريف الارتباط وبيانات النموذج المخزنة. وجدت Elastic أنها حصلت على مواد التشفير اللازمة للوصول إلى بيانات المتصفح المحمية قبل إرسال المعلومات المجمعة إلى البنية التحتية التي يتحكم فيها المهاجم.

لا تزال العدوى الأولية تتطلب تنفيذ ملف ضار. قالت Elastic إن الحملة توزع ملفات JavaScript متنكرة في شكل إيصالات بنكية أو فواتير أو مستندات شركات. بمجرد أن يقوم الضحية بتشغيل الطعم، يتحقق المحمل من البيئة قبل التقدم عبر المراحل اللاحقة.

شملت العلامات التجارية المالية البرازيلية التي تم انتحال صفتها في مواد الحملة: Banco do Brasil، Caixa، Bradesco، Sicoob، C6 Bank، Inter، BTG، Safra، PagBank، PicPay، Santander و Mercado Pago.

عدّت Elastic 1515 مضيفًا مصابًا بعد تعطيل مفتاح القتل

حصلت Elastic على مقياس مباشر بشكل غير عادي لمدى انتشار الحملة بعد أن لاحظ الباحثون أن KREMLIN كان يتحقق من نطاق إنترنت غير مسجل كجزء من عملية مكافحة التحليل.

صُممت البرامج الضارة لاختبار ما إذا كان النطاق يستجيب. تسببت الاستجابة الناجحة في افتراض البرنامج أنه يعمل داخل بيئة تحليل معزولة (sandbox) وإنهائه لنفسه. سجلت Elastic النطاق غير المستخدم سابقًا ووجهته إلى البنية التحتية التي يتحكم فيها الباحثون.

بدأت الأجهزة المصابة بعد ذلك بالاتصال بالعنوان المسجل حديثًا. أحصت Elastic 1515 نظامًا وقت النشر، مع تحديد موقع 98.75% منها في البرازيل. قال الباحثون إن العدد كان يرتفع بسرعة.

أدى تسجيل النطاق إلى قلب فحص KREMLIN لمكافحة التحليل ضد الحملة. فسرت الأجهزة التي وصلت إلى النطاق الاستجابة كدليل على وجود بيئة معزولة وتوقفت عن التقدم عبر سلسلة العدوى.

حذرت Elastic من أن التدخل كان مؤقتًا. كتب الباحثون: "لقد أدى هذا إلى تدهور وتلاعب مؤقتين بآليات الدفاع في الحملة"، قائلين إن الانقطاع يمكن أن يمنح المدافعين مزيدًا من الوقت لتحديد وتنظيف نقاط النهاية المتأثرة.

ظلت الأنظمة مصابة، مما يعني أن التسجيل لم يقم بإزالة KREMLIN تلقائيًا من أجهزة الكمبيوتر المخترقة. ذكر تقرير Elastic أن الأجهزة المتأثرة قد مُنعت من تجاوز مرحلة الإصابة ذات الصلة بينما ظل الكناري فعالًا.

تدعم البيانات الجغرافية التقييم السابق للباحثين بأن البرازيل هي الهدف الأساسي للحملة. فقد ظهرت أسماء الملفات باللغة البرتغالية، ورسائل الخطأ المزيفة، والعلامات التجارية المالية البرازيلية بشكل متكرر عبر العينات المستردة.

نشاط محفظة إيثيريوم يربط حملات KREMLIN المتعددة

ساعد تحليل السلسلة (on-chain analysis) Elastic على ربط مراحل مختلفة من عملية البرامج الضارة. حدد الباحثون محفظة إيثيريوم واحدة تُستخدم لنشر العقود الضارة وتحديث تكويناتها. كانت المحفظة نشطة ماليًا قبل ظهور أول عقد مرتبط بـ KREMLIN، مما أعطى المحققين سجلًا للمعاملات يمتد لأكثر من عام.

بين 19 يونيو 2025 و 24 أغسطس 2026، حددت Elastic 82 تحويل USDT مرتبطة بالمحفظة. بلغ إجمالي النشاط المسجل حوالي 20,778.97 USDT مستلمة و 19,016.96 USDT مرسلة. قال الباحثون إنه لا يمكن تصنيف التحويلات الفردية بشكل قاطع على أنها تمويل لتطوير البرامج الضارة.

وفر توقيت المعاملات دليلًا آخر على الإسناد. وجدت Elastic أن الكثير من نشاط المحفظة يتوافق مع ساعات العمل في المنطقة الزمنية UTC-3 المستخدمة في ساو باولو، على الرغم من أن الباحثين قدموا البرازيل كموقع محتمل للمشغل بدلاً من إسناد مؤكد.

لقد غيرت الحملة أدواتها خلال فترة حياتها. وزعت الموجات السابقة برنامج PULSAR RAT، بينما قدم الفرع الأحدث المرتبط بإيثيريوم برنامج REMCOS RAT جنبًا إلى جنب مع ملحق المتصفح المخصص. حددت Elastic سلسلتين مرتبطتين خلال هذه الفترة، بما في ذلك واحدة تستخدم ملفًا تنفيذيًا شرعيًا موقعًا من SentinelOne كجزء من عملية التحميل.

يمكن لفرق الأمن استخدام المؤشرات التي نشرتها Elastic Security Labs ومستودع IOC العام المصاحب لها للتحقق من القياس عن بعد لنقاط النهاية والمتصفح والشبكة بحثًا عن الآثار المرتبطة بالحملة. رسمت Elastic النشاط لتقنيات MITRE ATT&CK التي تغطي التنفيذ، والمثابرة، والوصول إلى بيانات الاعتماد، وملحقات المتصفح، والقيادة والتحكم، واستخراج البيانات.

استُهدف مستخدمو العملات المشفرة البرازيليون ببرامج ضارة منفصلة موزعة عبر واتساب في أواخر عام 2025. استهدفت تلك الحملة بيانات اعتماد البنوك والتكنولوجيا المالية والعملات المشفرة ولكنها لم تكن مرتبطة بـ REF9334.

يُظهر أحدث جدول زمني للبلوكتشين نشرته Elastic أن تكوين عقد KREMLIN قد تم تعديله حتى أغسطس، بينما تمتد ملاحظاتها للبنية التحتية حتى أواخر أغسطس 2026. قال الباحثون إن عقد إيثيريوم 0xCD7360…d07b ظل قيد الاستخدام عند إعداد تقرير 14 سبتمبر.