Дослідники з безпеки відстежили понад 1500 заражень шкідливим програмним забезпеченням KREMLIN після виявлення бразильської банківської кампанії, яка використовує смартконтракти Ethereum для оновлення інфраструктури атаки та шкідливі розширення браузера для крадіжки облікових даних та даних сесій.
Elastic Security Labs оприлюднила інформацію про операцію у технічному звіті 14 вересня після відстеження діяльності під кодовою назвою REF9334 з травня 2025 року. Дослідники спостерігали за сімома кампаніями протягом приблизно 15 місяців та пов'язали останні версії з розширеннями Chrome та Microsoft Edge, здатними збирати облікові дані браузера, файли cookie, маркери сеансів та іншу конфіденційну інформацію.
SlowMist видав попередження розвідки загроз 16 вересня, привернувши увагу до блокчейн-компонента операції, включаючи три контракти Ethereum, пов'язані зі зміною інфраструктури керування та контролю.
Незважаючи на назву KREMLIN, Elastic заявила, що не знайшла доказів зв'язку кампанії з Росією. Назва інструментарію походить від нікнейму автора шкідливого ПЗ, тоді як приманки імітують бразильські банки, використовують португальську мову та переважно досягають систем, розташованих у Бразилії.
Ethereum увійшов в операцію у травні 2026 року, коли дослідники виявили перший шкідливий смартконтракт, пов'язаний з інфраструктурою KREMLIN.
Elastic відстежила перший контракт до 19 травня. Він зберігав значення конфігурації, що вказували інфікованим системам на місця, які використовувались для інсталятора та шкідливого розширення браузера. Пізніші контракти змінили структуру та згодом перейшли до моделі конфігурації "ключ-значення", яку міг оновлювати оператор.
Поточний контракт, ідентифікований Elastic, це 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b. Дослідники зазначили, що він залишався у використанні на момент публікації їхнього звіту. До попередніх контрактів входили 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 та 0x64Def0A6099c4DE9C413B108EAae85A3C7457615.
Контракти не є експлойтом консенсусної системи Ethereum або платформи смартконтрактів. Elastic виявила, що зловмисники використовували блокчейн як розв'язник-схованку: інфіковані машини зчитували значення конфігурації з контрактів для визначення зовнішньої інфраструктури, контрольованої або зловживаної операторами.
Такий дизайн дозволяє операторам змінювати посилання на інфраструктуру, оновлюючи ончейн-значення, при цьому не змінюючи початкове шкідливе ПЗ. Elastic зафіксувала оновлення контрактів, що вказували на різні домени та розміщені файли, включаючи зміну конфігурації main-v2 13 серпня.
Crypto.news повідомляв у 2025 році, що шкідливі пакети npm використовували смартконтракти Ethereum для отримання інфраструктури керування. Дослідники ReversingLabs описали порівнянну модель, в якій дані блокчейну містили місця, що використовувались для зв'язку з серверами, контрольованими зловмисниками.
Microsoft виявила кампанії ClickFix, що використовують смартконтракти BNB Chain для отримання інструкцій шкідливого ПЗ. Висновки Microsoft стосувалися окремої кампанії, але показали ще один приклад використання публічних блокчейнів як інфраструктури для конфігурації шкідливого ПЗ.
Компонент браузера KREMLIN використовує техніку, яка дозволяє несанкціонованому розширенню виглядати належним чином зареєстрованим у браузерах на базі Chromium.
Elastic заявила, що інсталятор змінює дані безпечних налаштувань Chrome або Edge та відновлює HMAC та зашифровані хеші цілісності, які очікує браузер. Як тільки ці значення збігаються, шкідливе розширення може завантажуватися, навіть якщо користувач ніколи не схвалював встановлення через офіційний магазин розширень.
Сама техніка передує кампанії KREMLIN. Фірма з безпеки Synacktiv задокументувала цей підхід у 2025 році в дослідженні під назвою "The Phantom Extension" (Фантомне розширення), показуючи, як зловмисник, маючи доступ до системи Windows, може змінювати записи налаштувань Chromium та завантажувати розширення через внутрішні механізми браузера.
KREMLIN операціоналізував цю техніку для фінансової крадіжки. Проаналізоване Elastic розширення маскувалося під програмне забезпечення під назвою AVSync та запитувало доступ до вкладок, файлів cookie, сховища браузера та веб-запитів. Воно могло збирати збережені дані браузера та перехоплювати інформацію під час активних веб-сесій.
Шкідливе ПЗ збирає бази даних браузера, що містять інформацію для входу, файли cookie та збережені дані форм. Elastic виявила, що воно отримувало матеріал для шифрування, необхідний для доступу до захищених даних браузера, перш ніж надсилати зібрану інформацію до інфраструктури, контрольованої зловмисниками.
Початкове зараження все ще вимагає виконання шкідливого файлу. Elastic заявила, що кампанія розповсюджує файли JavaScript, замасковані під банківські квитанції, рахунки-фактури або корпоративні документи. Як тільки жертва виконує приманку, завантажувач перевіряє середовище, перш ніж переходити до подальших етапів.
Серед бразильських фінансових брендів, які імітувались у матеріалах кампанії, були Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander та Mercado Pago.
Elastic отримала надзвичайно прямий показник охоплення кампанії після того, як дослідники помітили, що KREMLIN перевіряв незареєстрований інтернет-домен як частину свого процесу протидії аналізу.
Шкідливе ПЗ було розроблено для перевірки відповіді домену. Успішна відповідь змушувала програму припускати, що вона працює в аналітичній пісочниці, і самостійно завершувати роботу. Elastic зареєструвала раніше невикористовуваний домен і направила його на інфраструктуру, контрольовану дослідниками.
Інфіковані машини потім почали контактувати з нещодавно зареєстрованою адресою. Elastic нарахувала 1515 систем на момент публікації, причому 98,75% були геолокалізовані в Бразилії. Дослідники заявили, що кількість швидко зростає.
Реєстрація домену обернула власну перевірку KREMLIN проти аналізу проти кампанії. Машини, що досягали домену, інтерпретували відповідь як доказ існування пісочниці та припиняли просування по ланцюжку зараження.
Elastic застерегла, що втручання було тимчасовим. "Це тимчасово погіршило та маніпулювало захисними механізмами кампанії", – написали дослідники, заявивши, що перерва може дати захисникам більше часу для виявлення та очищення уражених кінцевих точок.
Системи залишалися інфікованими, що означає, що реєстрація не видалила KREMLIN автоматично з скомпрометованих комп'ютерів. У звіті Elastic зазначено, що ураженим машинам було запобіжено просуванню за межі відповідної стадії зараження, поки канарка залишалася ефективною.
Географічні дані підтверджують попередню оцінку дослідників, що Бразилія є основною ціллю кампанії. Файли з португальськими назвами, фальшиві повідомлення про помилки та бразильські фінансові бренди неодноразово з'являлися у відновлених зразках.
Ончейн-аналіз допоміг Elastic пов'язати різні етапи операції шкідливого ПЗ. Дослідники ідентифікували єдиний гаманець Ethereum, що використовувався для розгортання шкідливих контрактів та оновлення їх конфігурацій. Адреса була фінансово активною до появи першого контракту, пов'язаного з KREMLIN, надаючи слідчим транзакційний слід, що охоплює понад рік.
Між 19 червня 2025 року та 24 серпня 2026 року Elastic ідентифікувала 82 перекази USDT, пов'язані з гаманцем. Зафіксована активність склала приблизно 20 778,97 USDT отримано та 19 016,96 USDT відправлено. Дослідники заявили, що окремі перекази не можуть бути остаточно класифіковані як фінансування розробки шкідливого ПЗ.
Час транзакцій надав ще одну підказку щодо атрибуції. Elastic виявила, що більша частина активності гаманця збігалася з робочими годинами в часовому поясі UTC-3, що використовується в Сан-Паулу, хоча дослідники представили Бразилію як ймовірне місцезнаходження оператора, а не підтверджену атрибуцію.
Кампанія змінювала інструментарій протягом свого життєвого циклу. Раніші хвилі розповсюджували PULSAR RAT, тоді як нова гілка, пов'язана з Ethereum, представила REMCOS RAT разом із власним розширенням браузера. Elastic ідентифікувала два пов'язані ланцюжки протягом цього періоду, включаючи той, що використовує легітимний підписаний виконуваний файл SentinelOne як частину процесу завантаження.
Команди з безпеки можуть використовувати індикатори, опубліковані Elastic Security Labs та її супутнім публічним репозиторієм IOC, для перевірки телеметрії кінцевих точок, браузерів та мереж на наявність артефактів, пов'язаних з кампанією. Elastic співвіднесла активність з техніками MITRE ATT&CK, що охоплюють виконання, стійкість, доступ до облікових даних, розширення браузера, керування та контроль, та викрадення даних.
Бразильські криптокористувачі були ціллю окремого шкідливого ПЗ, що розповсюджувалося через WhatsApp, наприкінці 2025 року. Ця кампанія була націлена на облікові дані банківських послуг, фінтеху та криптовалют, але не була пов'язана з REF9334.
Остання опублікована Elastic хронологія блокчейну показує, що конфігурація контракту KREMLIN змінювалася протягом серпня, тоді як спостереження за її інфраструктурою поширюються на кінець серпня 2026 року. Дослідники заявили, що контракт Ethereum 0xCD7360…d07b залишався у використанні, коли готувався звіт 14 вересня.
ETH
USDT
