Natunton ng mga security researcher ang mahigit 1,500 impeksyon ng KREMLIN malware matapos matuklasan ang isang Brazilian banking campaign na gumagamit ng Ethereum smart contracts upang i-update ang imprastraktura ng pag-atake at malisyosong browser extensions upang nakawin ang credentials at session data.
Isiniwalat ng Elastic Security Labs ang operasyon sa isang teknikal na ulat noong Setyembre 14 matapos subaybayan ang aktibidad sa ilalim ng REF9334 mula Mayo 2025. Sinundan ng mga researcher ang pitong campaign sa loob ng humigit-kumulang 15 buwan at iniugnay ang pinakabagong mga bersyon sa Chrome at Microsoft Edge extensions na may kakayahang mangolekta ng mga browser credential, cookies, session token at iba pang sensitibong impormasyon.
Naglabas ang SlowMist ng alerto ng threat-intelligence noong Setyembre 16 na nagbibigay-pansin sa bahagi ng blockchain ng operasyon, kabilang ang tatlong Ethereum contracts na konektado sa pagbabago ng command-and-control infrastructure.
Sa kabila ng pangalang KREMLIN, sinabi ng Elastic na wala silang nakitang ebidensya na nag-uugnay sa campaign sa Russia. Ang pangalan ng toolkit ay nagmula sa handle ng lumikha ng malware, habang ang mga pang-akit ay nagpapanggap bilang mga bangko sa Brazil, gumagamit ng tekstong Portuguese, at karamihan ay nakakarating sa mga system na matatagpuan sa Brazil.
Pumasok ang Ethereum sa operasyon noong Mayo 2026, nang obserbahan ng mga researcher ang unang malisyosong smart contract na nakatali sa imprastraktura ng KREMLIN.
Natunton ng Elastic ang unang kontrata noong Mayo 19. Nag-imbak ito ng mga halaga ng configuration na tumuturo sa mga infected system patungo sa mga lokasyon na ginagamit para sa installer at malisyosong browser extension. Ang mga sumunod na kontrata ay binago ang istraktura at kalaunan ay lumipat sa isang key-value configuration model na maaaring i-update ng operator.
Ang kasalukuyang kontrata na kinilala ng Elastic ay 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b. Sinabi ng mga researcher na nanatili itong ginagamit nang mailathala ang kanilang ulat. Kabilang sa mga naunang kontrata ang 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 at 0x64Def0A6099c4DE9C413B108EAae85A3C7457615.
Hindi kumakatawan ang mga kontrata sa isang exploit ng consensus system ng Ethereum o ng smart-contract platform. Natuklasan ng Elastic na ginamit ng mga attacker ang blockchain bilang isang dead-drop resolver: binabasa ng mga infected machine ang mga halaga ng configuration mula sa mga kontrata upang hanapin ang panlabas na imprastraktura na kontrolado o inabuso ng mga operator.
Ang ganoong disenyo ay nagpapahintulot sa mga operator na baguhin ang mga reference sa imprastraktura sa pamamagitan ng pag-update ng mga on-chain na halaga habang hindi binabago ang orihinal na malware. Naitala ng Elastic ang mga update sa kontrata na tumuturo sa iba't ibang domain at hosted files, kabilang ang pagbabago ng main-v2 configuration noong Agosto 13.
Iniulat ng Crypto.news noong 2025 na ginagamit ng mga malisyosong npm package ang Ethereum smart contracts upang kunin ang command infrastructure. Inilarawan ng mga researcher ng ReversingLabs ang isang maihahambing na modelo kung saan ang data ng blockchain ay naglalaman ng mga lokasyon na ginagamit upang maabot ang mga server na kontrolado ng attacker.
Natuklasan ng Microsoft ang mga kampanya ng ClickFix na gumagamit ng BNB Chain smart contracts upang kunin ang mga tagubilin ng malware. Ang mga natuklasan ng Microsoft ay kinabibilangan ng isang hiwalay na kampanya ngunit nagpakita ng isa pang halimbawa ng paggamit ng mga pampublikong blockchain bilang imprastraktura para sa configuration ng malware.
Gumagamit ang browser component ng KREMLIN ng isang teknik na nagpapahintulot sa isang hindi awtorisadong extension na lumabas na maayos na nakarehistro sa loob ng mga browser na nakabatay sa Chromium.
Sinabi ng Elastic na binabago ng installer ang Secure Preferences data ng Chrome o Edge at nire-regenerate ang mga HMAC at encrypted integrity hashes na inaasahan ng browser. Kapag nagtugma ang mga halagang iyon, maaaring mag-load ang malisyosong extension kahit na hindi kailanman inaprubahan ng user ang isang pag-install sa pamamagitan ng opisyal na extension store.
Ang mismong teknik ay nauna pa sa kampanya ng KREMLIN. Idinokumento ng security firm na Synacktiv ang pamamaraan noong 2025 sa ilalim ng pananaliksik na pinamagatang The Phantom Extension, na nagpapakita kung paano maaaring baguhin ng isang attacker na may access sa isang Windows system ang mga talaan ng preference ng Chromium at mag-load ng extension sa pamamagitan ng internal na mekanismo ng browser.
Inoperasyonalisa ng KREMLIN ang teknik na iyon para sa pagnanakaw ng pinansyal. Ang inanalisa na extension ng Elastic ay nagpanggap bilang software na tinatawag na AVSync at humiling ng access sa mga tab, cookies, browser storage at mga web request. Maaari itong mangolekta ng nakaimbak na data ng browser at saluhin ang impormasyon sa panahon ng aktibong web sessions.
Kinokolekta ng malware ang mga database ng browser na naglalaman ng impormasyon sa pag-login, cookies at nakaimbak na data ng form. Natuklasan ng Elastic na nakakuha ito ng encryption material na kinakailangan upang ma-access ang protektadong data ng browser bago ipadala ang nakolektang impormasyon sa imprastraktura na kontrolado ng attacker.
Ang paunang impeksyon ay nangangailangan pa rin ng pagpapatupad ng isang malisyosong file. Sinabi ng Elastic na ipinapamahagi ng campaign ang mga JavaScript file na nagpapanggap bilang mga resibo ng bangko, invoice o corporate document. Kapag naisagawa ng biktima ang pang-akit, sinisiyasat ng loader ang kapaligiran bago magpatuloy sa mga sumunod na yugto.
Kabilang sa mga Brazilian financial brand na pinagpanggap sa materyal ng campaign ang Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander at Mercado Pago.
Nakakuha ang Elastic ng hindi pangkaraniwang diretsong sukat ng abot ng campaign matapos mapansin ng mga researcher na sinuri ng KREMLIN ang isang hindi nakarehistrong internet domain bilang bahagi ng proseso nitong anti-analysis.
Idinisenyo ang malware upang subukan kung tumugon ang domain. Ang matagumpay na tugon ay nagdulot sa programa upang ipagpalagay na ito ay tumatakbo sa loob ng isang analysis sandbox at tapusin ang sarili nito. Inirehistro ng Elastic ang dating hindi nagamit na domain at itinuro ito sa imprastraktura na kinokontrol ng mga researcher.
Ang mga infected machine ay nagsimulang makipag-ugnayan sa bagong rehistradong address. Binilang ng Elastic ang 1,515 na system sa oras ng paglalathala, kung saan 98.75% ay geolocated sa Brazil. Sinabi ng mga researcher na mabilis na tumataas ang bilang.
Ang pagrehistro ng domain ay nagbaliktad sa sariling anti-analysis check ng KREMLIN laban sa campaign. Ang mga machine na umabot sa domain ay binigyang-kahulugan ang tugon bilang ebidensya ng isang sandbox at itinigil ang pagpapatuloy sa infection chain.
Binalaan ng Elastic na ang interbensyon ay pansamantala. “Ito ay pansamantalang nagpababa at nagmanipula sa mga mekanismo ng depensa ng campaign,” isinulat ng mga researcher, na sinasabing ang pagkaantala ay maaaring magbigay ng mas maraming oras sa mga tagapagtanggol upang hanapin at linisin ang mga apektadong endpoint.
Nanatiling infected ang mga system, ibig sabihin, hindi awtomatikong inalis ng pagrehistro ang KREMLIN mula sa mga nakompromisong computer. Sinabi ng ulat ng Elastic na ang mga apektadong machine ay napigilan na lumampas sa nauugnay na yugto ng impeksyon habang nananatiling epektibo ang canary.
Sinuportahan ng heograpikal na data ang naunang pagtatasa ng mga researcher na ang Brazil ang pangunahing target ng campaign. Ang mga filename na Portuguese, pekeng error message at mga Brazilian financial brand ay paulit-ulit na lumitaw sa mga nakuhang sample.
Nakatulong ang on-chain analysis sa Elastic na ikonekta ang iba't ibang yugto ng operasyon ng malware. Natukoy ng mga researcher ang isang solong Ethereum wallet na ginamit upang mag-deploy ng mga malisyosong kontrata at i-update ang kanilang mga configuration. Ang address ay aktibo sa pananalapi bago lumitaw ang unang kontrata na konektado sa KREMLIN, na nagbigay sa mga imbestigador ng isang transaction trail na sumasaklaw ng higit sa isang taon.
Sa pagitan ng Hunyo 19, 2025, at Agosto 24, 2026, natukoy ng Elastic ang 82 paglilipat ng USDT na nauugnay sa wallet. Ang naitalang aktibidad ay may kabuuang humigit-kumulang 20,778.97 USDT na natanggap at 19,016.96 USDT na ipinadala. Sinabi ng mga researcher na ang mga indibidwal na paglilipat ay hindi maaaring tiyak na maiuri bilang pondo para sa pagbuo ng malware.
Nagbigay ng isa pang pahiwatig sa atribusyon ang timing ng transaksyon. Natuklasan ng Elastic na karamihan sa aktibidad ng wallet ay nagtugma sa mga oras ng pagtatrabaho sa UTC-3 time zone na ginagamit ng São Paulo, bagama't ipinakita ng mga researcher ang Brazil bilang isang posibleng lokasyon ng operator sa halip na isang kumpirmadong atribusyon.
Binago ng campaign ang mga kagamitan nito sa buong tagal ng buhay nito. Ang mga naunang alon ay nagpamahagi ng PULSAR RAT, habang ang mas bagong branch na konektado sa Ethereum ay nagpakilala ng REMCOS RAT kasama ang custom browser extension. Natukoy ng Elastic ang dalawang nauugnay na chain sa panahong ito, kabilang ang isa na gumagamit ng lehitimong signed SentinelOne executable bilang bahagi ng proseso ng paglo-load.
Maaaring gamitin ng mga security team ang mga indicator na inilathala ng Elastic Security Labs at ang kasama nitong public IOC repository upang suriin ang endpoint, browser at network telemetry para sa mga artifact na nakatali sa campaign. Iminapa ng Elastic ang aktibidad sa mga teknik ng MITRE ATT&CK na sumasaklaw sa execution, persistence, credential access, browser extensions, command-and-control at data exfiltration.
Ang mga Brazilian crypto user ay naging target ng magkahiwalay na malware na ipinamahagi sa WhatsApp noong huling bahagi ng 2025. Ang campaign na iyon ay nagta-target ng banking, fintech at cryptocurrency credentials ngunit hindi konektado sa REF9334.
Ipinapakita ng pinakabagong inilathalang blockchain timeline ng Elastic na ang configuration ng kontrata ng KREMLIN ay binabago hanggang Agosto, habang ang mga obserbasyon sa imprastraktura nito ay umaabot hanggang huling bahagi ng Agosto 2026. Sinabi ng mga researcher na ang 0xCD7360…d07b Ethereum contract ay nanatiling ginagamit nang ihanda ang ulat noong Setyembre 14.
ETH
USDT