【安全讯】安全研究人员近期追踪到一项名为KREMLIN的恶意软件攻击活动，该活动利用以太坊智能合约动态更新攻击服务器地址，已导致超过1500台系统感染，主要目标为巴西银行用户。
据Elastic Security Labs于9月14日发布的技术报告，研究团队自2025年5月起以REF9334为代号监控该活动，共发现七波攻击战役。恶意软件通过伪装成银行收据的JavaScript文件诱导执行，随后修改Chromium浏览器的安全偏好，静默安装可窃取凭证的恶意扩展。
值得注意的是，攻击者自2026年5月起将以太坊区块链作为“死信解析器”，通过智能合约存储命令控制基础设施配置。相关钱包地址在2025年6月至2026年8月间记录到82笔USDT转账，总计约2万USDT。目前合约0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b仍在使用。
Elastic通过注册恶意软件反分析检测的废弃域名，成功中断攻击链并统计感染分布：1515台主机中98.75%位于巴西。尽管代号KREMLIN，但无证据表明与俄罗斯有关，诱饵均使用葡萄牙语及巴西金融机构品牌。