सुरक्षा शोधकर्ताओं ने एक ब्राज़ीलियाई बैंकिंग अभियान का खुलासा करने के बाद 1,500 से अधिक क्रेमलिन मालवेयर संक्रमणों का पता लगाया है, जो हमले के बुनियादी ढांचे को अपडेट करने के लिए एथेरियम स्मार्ट कॉन्ट्रैक्ट्स और क्रेडेंशियल व सत्र डेटा चुराने के लिए दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन का उपयोग करता है।

इलास्टिक सिक्योरिटी लैब्स ने 14 सितंबर को एक तकनीकी रिपोर्ट में इस ऑपरेशन का खुलासा किया, जिसमें मई 2025 से REF9334 के तहत गतिविधि को ट्रैक किया गया था। शोधकर्ताओं ने लगभग 15 महीनों में सात अभियानों का पालन किया और नवीनतम संस्करणों को क्रोम और माइक्रोसॉफ्ट एज एक्सटेंशन से जोड़ा, जो ब्राउज़र क्रेडेंशियल, कुकीज़, सत्र टोकन और अन्य संवेदनशील जानकारी एकत्र करने में सक्षम थे।

स्लोमिस्ट ने 16 सितंबर को एक खतरा-खुफिया चेतावनी जारी की, जिसमें ऑपरेशन के ब्लॉकचेन घटक पर ध्यान आकर्षित किया गया, जिसमें कमांड-एंड-कंट्रोल इंफ्रास्ट्रक्चर को बदलने से जुड़े तीन एथेरियम कॉन्ट्रैक्ट्स शामिल थे।

क्रेमलिन नाम के बावजूद, इलास्टिक ने कहा कि उसे अभियान को रूस से जोड़ने का कोई सबूत नहीं मिला। टूलकिट का नाम मालवेयर लेखक के हैंडल से आया है, जबकि लालच ब्राज़ीलियाई बैंकों का प्रतिरूपण करते हैं, पुर्तगाली-भाषा पाठ का उपयोग करते हैं और मुख्य रूप से ब्राज़ील में स्थित सिस्टम तक पहुँचते हैं।

क्रेमलिन एथेरियम कॉन्ट्रैक्ट्स को बदलते एड्रेस बुक के रूप में उपयोग करता है

एथेरियम मई 2026 में ऑपरेशन में प्रवेश किया, जब शोधकर्ताओं ने क्रेमलिन के बुनियादी ढांचे से जुड़े पहले दुर्भावनापूर्ण स्मार्ट कॉन्ट्रैक्ट को देखा।

इलास्टिक ने 19 मई को पहले कॉन्ट्रैक्ट का पता लगाया। इसने कॉन्फ़िगरेशन मान संग्रहीत किए जो संक्रमित सिस्टम को इंस्टालर और दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन के लिए उपयोग किए जाने वाले स्थानों की ओर इंगित करते थे। बाद के कॉन्ट्रैक्ट्स ने संरचना को बदल दिया और अंततः एक कुंजी-मूल्य कॉन्फ़िगरेशन मॉडल में चले गए जिसे ऑपरेटर द्वारा अपडेट किया जा सकता था।

इलास्टिक द्वारा पहचाना गया वर्तमान कॉन्ट्रैक्ट 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b है। शोधकर्ताओं ने कहा कि उनकी रिपोर्ट प्रकाशित होने पर यह उपयोग में रहा। पहले के कॉन्ट्रैक्ट्स में 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 और 0x64Def0A6099c4DE9C413B108EAae85A3C7457615 शामिल थे।

ये कॉन्ट्रैक्ट्स एथेरियम की सर्वसम्मति प्रणाली या स्मार्ट-कॉन्ट्रैक्ट प्लेटफॉर्म का शोषण नहीं दर्शाते हैं। इलास्टिक ने पाया कि हमलावरों ने ब्लॉकचेन का उपयोग डेड-ड्रॉप रिज़ॉल्वर के रूप में किया: संक्रमित मशीनें ऑपरेटरों द्वारा नियंत्रित या दुरुपयोग किए गए बाहरी बुनियादी ढांचे का पता लगाने के लिए कॉन्ट्रैक्ट्स से कॉन्फ़िगरेशन मान पढ़ती हैं।

ऐसा डिज़ाइन ऑपरेटरों को ऑन-चेन मानों को अपडेट करके बुनियादी ढाँचा संदर्भों को बदलने की अनुमति देता है, जबकि प्रारंभिक मालवेयर को अपरिवर्तित छोड़ देता है। इलास्टिक ने विभिन्न डोमेन और होस्ट की गई फ़ाइलों की ओर इशारा करने वाले कॉन्ट्रैक्ट अपडेट दर्ज किए, जिसमें 13 अगस्त को मुख्य-v2 कॉन्फ़िगरेशन परिवर्तन भी शामिल था।

Crypto.news ने 2025 में रिपोर्ट किया कि दुर्भावनापूर्ण एनपीएम पैकेज कमांड इंफ्रास्ट्रक्चर को पुनः प्राप्त करने के लिए एथेरियम स्मार्ट कॉन्ट्रैक्ट्स का उपयोग कर रहे थे। रीवर्सिंगलैब्स के शोधकर्ताओं ने एक तुलनीय मॉडल का वर्णन किया जिसमें ब्लॉकचेन डेटा में हमलावर-नियंत्रित सर्वर तक पहुंचने के लिए उपयोग किए जाने वाले स्थान शामिल थे।

माइक्रोसॉफ्ट ने क्लिकफिक्स अभियानों को बीएनबी चेन स्मार्ट कॉन्ट्रैक्ट्स का उपयोग करके मालवेयर निर्देश प्राप्त करते हुए पाया। माइक्रोसॉफ्ट के निष्कर्षों में एक अलग अभियान शामिल था, लेकिन मालवेयर कॉन्फ़िगरेशन के लिए बुनियादी ढांचे के रूप में सार्वजनिक ब्लॉकचेन का उपयोग करने का एक और उदाहरण दिखाया।

दुर्भावनापूर्ण एक्सटेंशन बिना अनुमति के क्रोम और एज में प्रवेश कर सकते हैं

क्रेमलिन का ब्राउज़र घटक एक ऐसी तकनीक का उपयोग करता है जो एक अनधिकृत एक्सटेंशन को क्रोमियम-आधारित ब्राउज़रों के अंदर ठीक से पंजीकृत होने के रूप में दिखाई देने देती है।

इलास्टिक ने कहा कि इंस्टालर क्रोम या एज के सिक्योर प्रेफरेंस डेटा को संशोधित करता है और ब्राउज़र द्वारा अपेक्षित एचएमएसी और एन्क्रिप्टेड अखंडता हैश को पुनर्जीवित करता है। एक बार जब ये मान मेल खाते हैं, तो दुर्भावनापूर्ण एक्सटेंशन लोड हो सकता है, भले ही उपयोगकर्ता ने कभी आधिकारिक एक्सटेंशन स्टोर के माध्यम से इंस्टॉलेशन को मंजूरी नहीं दी हो।

यह तकनीक क्रेमलिन अभियान से पहले की है। सुरक्षा फर्म सिंकटिव ने 2025 में "द फैंटम एक्सटेंशन" नामक शोध के तहत इस दृष्टिकोण को दस्तावेज किया था, जिसमें दिखाया गया था कि विंडोज सिस्टम तक पहुंच वाला एक हमलावर क्रोमियम वरीयता रिकॉर्ड को कैसे बदल सकता है और आंतरिक ब्राउज़र तंत्रों के माध्यम से एक एक्सटेंशन लोड कर सकता है।

क्रेमलिन ने वित्तीय चोरी के लिए उस तकनीक को कार्यान्वित किया। इलास्टिक के विश्लेषणित एक्सटेंशन ने एवीसिंक नामक सॉफ्टवेयर का रूप धारण किया और टैब, कुकीज़, ब्राउज़र स्टोरेज और वेब अनुरोधों तक पहुंच का अनुरोध किया। यह सहेजे गए ब्राउज़र डेटा को एकत्र कर सकता था और सक्रिय वेब सत्रों के दौरान जानकारी को इंटरसेप्ट कर सकता था।

मालवेयर लॉगिन जानकारी, कुकीज़ और संग्रहीत फ़ॉर्म डेटा वाले ब्राउज़र डेटाबेस एकत्र करता है। इलास्टिक ने पाया कि इसने संरक्षित ब्राउज़र डेटा तक पहुंचने के लिए आवश्यक एन्क्रिप्शन सामग्री प्राप्त की, इससे पहले कि एकत्र की गई जानकारी को हमलावर-नियंत्रित बुनियादी ढांचे पर भेजा गया।

प्रारंभिक संक्रमण के लिए अभी भी एक दुर्भावनापूर्ण फ़ाइल के निष्पादन की आवश्यकता होती है। इलास्टिक ने कहा कि अभियान बैंक रसीदें, चालान या कॉर्पोरेट दस्तावेज़ों के रूप में प्रच्छन्न जावास्क्रिप्ट फ़ाइलें वितरित करता है। एक बार जब पीड़ित लालच को निष्पादित करता है, तो लोडर बाद के चरणों के माध्यम से आगे बढ़ने से पहले पर्यावरण की जाँच करता है।

अभियान सामग्री में प्रतिरूपित ब्राज़ीलियाई वित्तीय ब्रांडों में बैंको डो ब्राज़ील, कैक्सा, ब्राडेस्को, सिकूब, सी6 बैंक, इंटर, बीटीजी, सफ्रा, पैगबैंक, पिकपे, सेंटेंडर और मर्काडो पागो शामिल थे।

किल स्विच को बाधित करने के बाद इलास्टिक ने 1,515 संक्रमित होस्ट गिने

इलास्टिक ने अभियान की पहुंच का असामान्य रूप से सीधा माप प्राप्त किया, जब शोधकर्ताओं ने देखा कि क्रेमलिन ने अपनी एंटी-विश्लेषण प्रक्रिया के हिस्से के रूप में एक अपंजीकृत इंटरनेट डोमेन की जाँच की।

मालवेयर को यह परीक्षण करने के लिए डिज़ाइन किया गया था कि क्या डोमेन ने प्रतिक्रिया दी। एक सफल प्रतिक्रिया के कारण कार्यक्रम ने यह मान लिया कि वह विश्लेषण सैंडबॉक्स के अंदर काम कर रहा था और खुद को समाप्त कर लिया। इलास्टिक ने पहले से अप्रयुक्त डोमेन को पंजीकृत किया और इसे शोधकर्ताओं द्वारा नियंत्रित बुनियादी ढांचे की ओर इंगित किया।

संक्रमित मशीनें तब नए पंजीकृत पते से संपर्क करने लगीं। प्रकाशन के समय इलास्टिक ने 1,515 सिस्टम गिने, जिनमें से 98.75% ब्राज़ील में भू-स्थित थे। शोधकर्ताओं ने कहा कि संख्या तेजी से बढ़ रही थी।

डोमेन को पंजीकृत करने से क्रेमलिन की अपनी एंटी-विश्लेषण जाँच अभियान के खिलाफ हो गई। डोमेन तक पहुंचने वाली मशीनों ने प्रतिक्रिया को सैंडबॉक्स के सबूत के रूप में व्याख्या की और संक्रमण श्रृंखला के माध्यम से आगे बढ़ना बंद कर दिया।

इलास्टिक ने चेतावनी दी कि हस्तक्षेप अस्थायी था। "इसने अभियान के रक्षा तंत्रों को अस्थायी रूप से नीचा दिखाया और हेरफेर किया है," शोधकर्ताओं ने लिखा, यह कहते हुए कि रुकावट रक्षकों को प्रभावित एंडपॉइंट्स का पता लगाने और साफ करने के लिए अधिक समय दे सकती है।

सिस्टम संक्रमित रहे, जिसका अर्थ है कि पंजीकरण ने स्वचालित रूप से क्रेमलिन को समझौता किए गए कंप्यूटरों से नहीं हटाया। इलास्टिक की रिपोर्ट में कहा गया है कि प्रभावित मशीनों को प्रासंगिक संक्रमण चरण से आगे बढ़ने से रोका गया था जबकि कैनरी प्रभावी रहा।

भौगोलिक डेटा शोधकर्ताओं के पहले के आकलन का समर्थन करता है कि ब्राज़ील अभियान का प्राथमिक लक्ष्य है। पुर्तगाली-भाषा फ़ाइल नाम, नकली त्रुटि संदेश और ब्राज़ीलियाई वित्तीय ब्रांड पुनर्प्राप्त नमूनों में बार-बार दिखाई दिए।

एथेरियम वॉलेट गतिविधि कई क्रेमलिन अभियानों को जोड़ती है

ऑन-चेन विश्लेषण ने इलास्टिक को मालवेयर ऑपरेशन के विभिन्न चरणों को जोड़ने में मदद की। शोधकर्ताओं ने दुर्भावनापूर्ण कॉन्ट्रैक्ट्स को डिप्लॉय करने और उनके कॉन्फ़िगरेशन को अपडेट करने के लिए उपयोग किए जाने वाले एक ही एथेरियम वॉलेट की पहचान की। क्रेमलिन-लिंक्ड कॉन्ट्रैक्ट दिखाई देने से पहले पता आर्थिक रूप से सक्रिय था, जिससे जांचकर्ताओं को एक साल से अधिक समय तक फैले लेनदेन ट्रेल मिला।

19 जून, 2025 और 24 अगस्त, 2026 के बीच, इलास्टिक ने वॉलेट से जुड़े 82 यूएसडीटी स्थानान्तरणों की पहचान की। रिकॉर्ड की गई गतिविधि में कुल लगभग 20,778.97 यूएसडीटी प्राप्त हुए और 19,016.96 यूएसडीटी भेजे गए। शोधकर्ताओं ने कहा कि व्यक्तिगत स्थानान्तरण को मालवेयर-विकास फंडिंग के रूप में निर्णायक रूप से वर्गीकृत नहीं किया जा सका।

लेनदेन के समय ने एक और विशेषता सुराग प्रदान किया। इलास्टिक ने पाया कि वॉलेट गतिविधि का अधिकांश हिस्सा साओ पाउलो द्वारा उपयोग किए जाने वाले यूटीसी-3 समय क्षेत्र में काम के घंटों के साथ मेल खाता था, हालांकि शोधकर्ताओं ने ब्राज़ील को एक प्रशंसनीय ऑपरेटर स्थान के रूप में प्रस्तुत किया, न कि एक पुष्टि की गई विशेषता के रूप में।

अभियान ने अपने जीवनकाल के दौरान टूलिंग बदल दी है। पहले की लहरों ने पल्सर आरएटी वितरित किया, जबकि नए एथेरियम-लिंक्ड ब्रांच ने कस्टम ब्राउज़र एक्सटेंशन के साथ रेमकॉस आरएटी पेश किया। इलास्टिक ने इस अवधि के दौरान दो संबंधित श्रृंखलाओं की पहचान की, जिसमें एक वह भी शामिल है जो लोडिंग प्रक्रिया के हिस्से के रूप में एक वैध हस्ताक्षरित सेंटिनलवन निष्पादन योग्य का उपयोग करती है।

सुरक्षा टीमें इलास्टिक सिक्योरिटी लैब्स द्वारा प्रकाशित संकेतकों और इसके साथ सार्वजनिक आईओसी रिपॉजिटरी का उपयोग अभियान से जुड़े कलाकृतियों के लिए एंडपॉइंट, ब्राउज़र और नेटवर्क टेलीमेट्री की जाँच करने के लिए कर सकती हैं। इलास्टिक ने गतिविधि को निष्पादन, दृढ़ता, क्रेडेंशियल एक्सेस, ब्राउज़र एक्सटेंशन, कमांड-एंड-कंट्रोल और डेटा एक्सफ़िल्ट्रेशन को कवर करने वाली MITRE ATT&CK तकनीकों से मैप किया।

ब्राज़ीलियाई क्रिप्टो उपयोगकर्ताओं को 2025 के अंत में अलग व्हाट्सएप-वितरित मालवेयर द्वारा लक्षित किया गया था। उस अभियान ने बैंकिंग, फिनटेक और क्रिप्टोक्यूरेंसी क्रेडेंशियल को लक्षित किया था, लेकिन यह REF9334 से जुड़ा नहीं था।

इलास्टिक की नवीनतम प्रकाशित ब्लॉकचेन टाइमलाइन अगस्त के माध्यम से क्रेमलिन के कॉन्ट्रैक्ट कॉन्फ़िगरेशन को संशोधित होते हुए दिखाती है, जबकि इसके बुनियादी ढांचे के अवलोकन अगस्त 2026 के अंत तक विस्तारित होते हैं। शोधकर्ताओं ने कहा कि 0xCD7360…d07b एथेरियम कॉन्ट्रैक्ट 14 सितंबर की रिपोर्ट तैयार होने पर भी उपयोग में रहा।