Sicherheitsforscher haben mehr als 1.500 KREMLIN-Malware-Infektionen zurückverfolgt, nachdem sie eine brasilianische Banking-Kampagne aufgedeckt haben, die Ethereum-Smart-Contracts zur Aktualisierung der Angriffsinfrastruktur und bösartige Browser-Erweiterungen zum Diebstahl von Anmeldeinformationen und Sitzungsdaten verwendet.
Zusammenfassung
- Elastic verfolgte KREMLIN über sieben Kampagnen hinweg, die bösartige Browser-Erweiterungen hauptsächlich gegen brasilianische Banking-Nutzer einsetzten.
- Ethereum-Smart-Contracts ermöglichten es KREMLIN-Betreibern, Befehlsserver und Payload-Speicherorte zu aktualisieren, ohne die Malware zu ändern.
- Elastic beobachtete 1.515 infizierte Systeme, die seine registrierte Canary-Domain kontaktierten, wobei sich 98,75 % in Brasilien befanden.
- KREMLIN manipuliert Chromium Secure Preferences, um bösartige Chrome- und Edge-Erweiterungen ohne Zustimmung des Nutzers zu installieren.
- Forscher verfolgten 82 USDT-Transfers über die Wallet, die zum Bereitstellen und Aktualisieren bösartiger Contracts verwendet wurde.
Elastic Security Labs veröffentlichte die Operation in einem technischen Bericht vom 14. September, nachdem die Aktivität seit Mai 2025 unter REF9334 verfolgt wurde. Forscher verfolgten sieben Kampagnen über etwa 15 Monate und verknüpften die neuesten Versionen mit Chrome- und Microsoft Edge-Erweiterungen, die Browser-Anmeldeinformationen, Cookies, Sitzungstoken und andere sensible Informationen sammeln können.
SlowMist gab am 16. September eine Threat-Intelligence-Warnung heraus, die auf die Blockchain-Komponente der Operation aufmerksam machte, einschließlich drei Ethereum-Contracts, die mit der Änderung der Command-and-Control-Infrastruktur verbunden sind.
Trotz des Namens KREMLIN gab Elastic an, keine Beweise gefunden zu haben, die die Kampagne mit Russland verbinden. Der Name des Toolkits stammt vom Handle des Malware-Autors, während die Köder brasilianische Banken imitieren, portugiesischsprachigen Text verwenden und überwiegend Systeme in Brasilien erreichen.
KREMLIN verwendet Ethereum-Contracts als sich ändernde Adressbücher
Ethereum trat im Mai 2026 in die Operation ein, als Forscher den ersten bösartigen Smart Contract entdeckten, der mit KREMLINs Infrastruktur verbunden war.
Elastic verfolgte den ersten Contract bis zum 19. Mai zurück. Er speicherte Konfigurationswerte, die infizierte Systeme auf Speicherorte für den Installer und die bösartige Browser-Erweiterung verwiesen. Spätere Contracts änderten die Struktur und gingen schließlich zu einem Schlüssel-Wert-Konfigurationsmodell über, das vom Betreiber aktualisiert werden konnte.
Der aktuelle von Elastic identifizierte Contract ist 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b. Forscher gaben an, dass er zum Zeitpunkt der Veröffentlichung ihres Berichts noch in Gebrauch war. Frühere Contracts umfassten 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 und 0x64Def0A6099c4DE9C413B108EAae85A3C7457615.
Die Contracts stellen keine Ausnutzung des Konsenssystems oder der Smart-Contract-Plattform von Ethereum dar. Elastic stellte fest, dass die Angreifer die Blockchain als Dead-Drop-Resolver nutzten: Infizierte Maschinen lesen Konfigurationswerte aus den Contracts, um externe Infrastruktur zu lokalisieren, die von den Betreibern kontrolliert oder missbraucht wird.
Ein solches Design ermöglicht es Betreibern, Infrastrukturverweise durch Aktualisierung der On-Chain-Werte zu ändern, während die ursprüngliche Malware unverändert bleibt. Elastic zeichnete Contract-Updates auf, die auf verschiedene Domains und gehostete Dateien verwiesen, einschließlich einer main-v2-Konfigurationsänderung am 13. August.
Crypto.news berichtete im Jahr 2025, dass bösartige npm-Pakete Ethereum-Smart-Contracts verwendeten, um Befehlsinfrastruktur abzurufen. Forscher von ReversingLabs beschrieben ein vergleichbares Modell, bei dem Blockchain-Daten Speicherorte enthielten, die zum Erreichen von Angreifer-kontrollierten Servern verwendet wurden.
Microsoft hat ClickFix-Kampagnen entdeckt, die BNB-Chain-Smart-Contracts nutzen, um Malware-Anweisungen abzurufen. Microsofts Erkenntnisse betrafen eine separate Kampagne, zeigten jedoch ein weiteres Beispiel dafür, wie öffentliche Blockchains als Infrastruktur für Malware-Konfigurationen genutzt werden.
Bösartige Erweiterungen können ohne Genehmigung in Chrome und Edge eindringen
Die Browser-Komponente von KREMLIN verwendet eine Technik, die es einer nicht autorisierten Erweiterung ermöglicht, in Chromium-basierten Browsern als ordnungsgemäß registriert zu erscheinen.
Elastic erklärte, dass der Installer die Secure Preferences-Daten von Chrome oder Edge verändert und die HMACs sowie verschlüsselten Integritäts-Hashes neu generiert, die der Browser erwartet. Sobald diese Werte übereinstimmen, kann die bösartige Erweiterung geladen werden, obwohl der Benutzer nie eine Installation über den offiziellen Erweiterungs-Store genehmigt hat.
Die Technik selbst ist älter als die KREMLIN-Kampagne. Das Sicherheitsunternehmen Synacktiv dokumentierte den Ansatz im Jahr 2025 unter dem Forschungstitel The Phantom Extension und zeigte, wie ein Angreifer mit Zugriff auf ein Windows-System Chromium-Präferenzdatensätze ändern und eine Erweiterung über interne Browser-Mechanismen laden könnte.
KREMLIN operationalisierte diese Technik für Finanzdiebstahl. Die von Elastic analysierte Erweiterung gab sich als Software namens AVSync aus und forderte Zugriff auf Tabs, Cookies, Browser-Speicher und Webanfragen. Sie konnte gespeicherte Browserdaten sammeln und Informationen während aktiver Websitzungen abfangen.
Die Malware sammelt Browser-Datenbanken, die Anmeldeinformationen, Cookies und gespeicherte Formulardaten enthalten. Elastic stellte fest, dass sie Verschlüsselungsmaterial beschaffte, das für den Zugriff auf geschützte Browserdaten benötigt wird, bevor sie gesammelte Informationen an eine von Angreifern kontrollierte Infrastruktur sendete.
Die Erstinfektion erfordert weiterhin die Ausführung einer bösartigen Datei. Elastic erklärte, dass die Kampagne JavaScript-Dateien verbreitet, die als Bankbelege, Rechnungen oder Unternehmensdokumente getarnt sind. Sobald ein Opfer den Köder ausführt, überprüft der Loader die Umgebung, bevor er die späteren Phasen durchläuft.
Zu den brasilianischen Finanzmarken, die im Kampagnenmaterial nachgeahmt wurden, gehörten Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander und Mercado Pago.
Elastic zählte 1.515 infizierte Hosts nach der Störung eines Kill-Switches
Elastic erhielt ein ungewöhnlich direktes Maß für die Reichweite der Kampagne, nachdem Forscher bemerkten, dass KREMLIN im Rahmen seines Anti-Analyse-Prozesses eine nicht registrierte Internetdomäne überprüfte.
Die Malware war darauf ausgelegt zu testen, ob die Domäne antwortete. Eine erfolgreiche Antwort veranlasste das Programm anzunehmen, dass es in einer Analyse-Sandbox lief, und sich selbst zu beenden. Elastic registrierte die zuvor ungenutzte Domäne und richtete sie auf eine Infrastruktur, die die Forscher kontrollierten.
Die Registrierung der Domäne wandte KREMLINs eigene Anti-Analyse-Prüfung gegen die Kampagne. Maschinen, die die Domäne erreichten, interpretierten die Antwort als Beweis für eine Sandbox und stellten die Fortsetzung der Infektionskette ein.
Elastic warnte, dass die Intervention vorübergehend war. „Dies hat die Verteidigungsmechanismen der Kampagne vorübergehend beeinträchtigt und manipuliert“, schrieben die Forscher und sagten, die Unterbrechung könnte Verteidigern mehr Zeit geben, betroffene Endpunkte zu lokalisieren und zu bereinigen.
Die Systeme blieben infiziert, was bedeutet, dass die Registrierung KREMLIN nicht automatisch von kompromittierten Computern entfernte. Der Bericht von Elastic besagte, dass die betroffenen Maschinen daran gehindert wurden, über die relevante Infektionsphase hinauszugelangen, solange der Canary wirksam blieb.
Die geografischen Daten stützen die frühere Einschätzung der Forscher, dass Brasilien das Hauptziel der Kampagne ist. Portugiesischsprachige Dateinamen, gefälschte Fehlermeldungen und brasilianische Finanzmarken erschienen wiederholt in den wiederhergestellten Proben.
Ethereum-Wallet-Aktivität verbindet mehrere KREMLIN-Kampagnen
On-Chain-Analysen halfen Elastic, verschiedene Phasen der Malware-Operation zu verbinden. Forscher identifizierten eine einzelne Ethereum-Wallet, die zum Bereitstellen bösartiger Contracts und zur Aktualisierung ihrer Konfigurationen verwendet wurde. Die Adresse war finanziell aktiv, bevor der erste mit KREMLIN verbundene Contract erschien, was den Ermittlern eine Transaktionsspur von mehr als einem Jahr lieferte.
Zwischen dem 19. Juni 2025 und dem 24. August 2026 identifizierte Elastic 82 USDT-Transfers, die mit der Wallet verbunden waren. Die erfasste Aktivität belief sich auf insgesamt etwa 20.778,97 USDT, die empfangen, und 19.016,96 USDT, die gesendet wurden. Forscher sagten, einzelne Transfers könnten nicht abschließend als Finanzierung der Malware-Entwicklung eingestuft werden.
Der Transaktionszeitpunkt lieferte einen weiteren Hinweis auf die Zuordnung. Elastic stellte fest, dass ein Großteil der Wallet-Aktivität mit den Arbeitszeiten in der von São Paulo verwendeten Zeitzone UTC-3 übereinstimmte, obwohl die Forscher Brasilien eher als plausiblen Standort des Betreibers denn als bestätigte Zuordnung darstellten.
Die Kampagne hat im Laufe ihrer Lebensdauer ihre Tooling geändert. Frühere Wellen verbreiteten PULSAR RAT, während der neuere, mit Ethereum verbundene Zweig REMCOS RAT zusammen mit der benutzerdefinierten Browsererweiterung einführte. Elastic identifizierte in diesem Zeitraum zwei zusammenhängende Ketten, darunter eine, die eine legitime signierte SentinelOne-Executable als Teil des Ladeprozesses verwendet.
Sicherheitsteams können die von Elastic Security Labs veröffentlichten Indikatoren und das begleitende öffentliche IOC-Repository nutzen, um Endpunkt-, Browser- und Netzwerk-Telemetrie auf Artefakte zu überprüfen, die mit der Kampagne verbunden sind. Elastic ordnete die Aktivität MITRE ATT&CK-Techniken zu, die Ausführung, Persistenz, Zugriff auf Anmeldeinformationen, Browsererweiterungen, Command-and-Control und Datenexfiltration abdecken.
Brasilianische Krypto-Nutzer wurden Ende 2025 von einer separaten, über WhatsApp verbreiteten Malware ins Visier genommen. Diese Kampagne zielte auf Banking-, Fintech- und Kryptowährungs-Anmeldeinformationen ab, stand jedoch nicht mit REF9334 in Verbindung.
Elastics neueste veröffentlichte Blockchain-Zeitleiste zeigt, dass die Vertragskonfiguration von KREMLIN bis August geändert wurde, während die Infrastrukturbeobachtungen bis Ende August 2026 reichen. Die Forscher gaben an, dass der Ethereum-Vertrag 0xCD7360…d07b bei der Erstellung des Berichts vom 14. September noch in Gebrauch war.
