Des chercheurs en sécurité ont tracé plus de 1 500 infections par le malware KREMLIN après avoir découvert une campagne bancaire brésilienne qui utilise des contrats intelligents Ethereum pour mettre à jour l'infrastructure d'attaque et des extensions de navigateur malveillantes pour voler des identifiants et des données de session.
Résumé
- Elastic a suivi KREMLIN à travers sept campagnes utilisant des extensions de navigateur malveillantes contre des utilisateurs de banques brésiliennes principalement.
- Les contrats intelligents Ethereum permettent aux opérateurs de KREMLIN de mettre à jour les serveurs de commande et les emplacements de charge utile sans modifier le malware.
- Elastic a observé 1 515 systèmes infectés contactant son domaine canari enregistré, dont 98,75 % situés au Brésil.
- KREMLIN manipule les Chromium Secure Preferences pour installer des extensions Chrome et Edge malveillantes sans l'approbation de l'utilisateur.
- Les chercheurs ont tracé 82 transferts USDT via le portefeuille utilisé pour déployer et mettre à jour les contrats malveillants.
Elastic Security Labs a divulgué l'opération dans un rapport technique du 14 septembre après avoir suivi l'activité sous REF9334 depuis mai 2025. Les chercheurs ont suivi sept campagnes sur environ 15 mois et ont lié les dernières versions à des extensions Chrome et Microsoft Edge capables de collecter des identifiants de navigateur, des cookies, des jetons de session et d'autres informations sensibles.
SlowMist a émis une alerte de renseignement sur les menaces le 16 septembre attirant l'attention sur la composante blockchain de l'opération, y compris trois contrats Ethereum liés au changement d'infrastructure de commande et de contrôle.
Malgré le nom KREMLIN, Elastic a déclaré n'avoir trouvé aucune preuve reliant la campagne à la Russie. Le nom de la boîte à outils provient du pseudonyme de l'auteur du malware, tandis que les leurres usurpent l'identité de banques brésiliennes, utilisent du texte en portugais et atteignent de manière écrasante des systèmes situés au Brésil.
KREMLIN utilise les contrats Ethereum comme carnets d'adresses changeants
Ethereum est entré dans l'opération en mai 2026, lorsque les chercheurs ont observé le premier contrat intelligent malveillant lié à l'infrastructure de KREMLIN.
Elastic a tracé le premier contrat au 19 mai. Il stockait des valeurs de configuration indiquant aux systèmes infectés les emplacements utilisés pour l'installateur et l'extension de navigateur malveillante. Les contrats ultérieurs ont modifié la structure et ont finalement adopté un modèle de configuration clé-valeur pouvant être mis à jour par l'opérateur.
Le contrat actuel identifié par Elastic est 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b. Les chercheurs ont déclaré qu'il était toujours utilisé lors de la publication de leur rapport. Les contrats antérieurs incluaient 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 et 0x64Def0A6099c4DE9C413B108EAae85A3C7457615.
Les contrats ne représentent pas une exploitation du système de consensus d'Ethereum ou de la plateforme de contrats intelligents. Elastic a découvert que les attaquants utilisaient la blockchain comme résolveur de dépôt mort : les machines infectées lisaient les valeurs de configuration des contrats pour localiser l'infrastructure externe contrôlée ou abusée par les opérateurs.
Une telle conception permet aux opérateurs de modifier les références d'infrastructure en mettant à jour les valeurs on-chain tout en laissant le malware initial inchangé. Elastic a enregistré des mises à jour de contrat pointant vers différents domaines et fichiers hébergés, y compris un changement de configuration main-v2 le 13 août.
Crypto.news a rapporté en 2025 que des packages npm malveillants utilisaient des contrats intelligents Ethereum pour récupérer l'infrastructure de commande. Les chercheurs de ReversingLabs ont décrit un modèle comparable dans lequel les données de la blockchain contenaient des emplacements utilisés pour atteindre des serveurs contrôlés par les attaquants.
Microsoft a découvert des campagnes ClickFix utilisant les contrats intelligents de la BNB Chain pour récupérer des instructions de logiciels malveillants. Les conclusions de Microsoft concernaient une campagne distincte, mais elles montraient un autre exemple de l’utilisation de blockchains publiques comme infrastructure pour la configuration de logiciels malveillants.
Des extensions malveillantes peuvent entrer dans Chrome et Edge sans approbation
Le composant navigateur de KREMLIN utilise une technique qui permet à une extension non autorisée d’apparaître comme correctement enregistrée dans les navigateurs basés sur Chromium.
Elastic a déclaré que l’installateur modifie les données Secure Preferences de Chrome ou Edge et régénère les HMAC et les hachages d’intégrité chiffrés attendus par le navigateur. Une fois ces valeurs correspondantes, l’extension malveillante peut se charger même si l’utilisateur n’a jamais approuvé une installation via la boutique d’extensions officielle.
La technique elle-même est antérieure à la campagne KREMLIN. La société de sécurité Synacktiv a documenté cette approche en 2025 sous le titre de recherche The Phantom Extension, montrant comment un attaquant ayant accès à un système Windows pouvait modifier les enregistrements de préférences de Chromium et charger une extension via les mécanismes internes du navigateur.
KREMLIN a opérationnalisé cette technique pour le vol financier. L’extension analysée par Elastic se faisait passer pour un logiciel appelé AVSync et demandait l’accès aux onglets, aux cookies, au stockage du navigateur et aux requêtes web. Elle pouvait collecter les données de navigation enregistrées et intercepter des informations pendant les sessions web actives.
Le logiciel malveillant collecte les bases de données du navigateur contenant les informations de connexion, les cookies et les données de formulaire stockées. Elastic a découvert qu’il acquérait le matériel de chiffrement nécessaire pour accéder aux données protégées du navigateur avant d’envoyer les informations collectées à une infrastructure contrôlée par l’attaquant.
L’infection initiale nécessite toujours l’exécution d’un fichier malveillant. Elastic a déclaré que la campagne distribue des fichiers JavaScript déguisés en reçus bancaires, factures ou documents d’entreprise. Une fois que la victime exécute le leurre, le chargeur vérifie l’environnement avant de progresser vers les étapes ultérieures.
Les marques financières brésiliennes usurpées dans le matériel de campagne incluaient Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander et Mercado Pago.
Elastic a compté 1 515 hôtes infectés après avoir perturbé un kill switch
Elastic a obtenu une mesure inhabituellement directe de la portée de la campagne après que les chercheurs ont remarqué que KREMLIN vérifiait un domaine Internet non enregistré dans le cadre de son processus anti-analyse.
Le logiciel malveillant était conçu pour tester si le domaine répondait. Une réponse réussie amenait le programme à supposer qu’il fonctionnait dans un bac à sable d’analyse et à se terminer. Elastic a enregistré le domaine auparavant inutilisé et l’a pointé vers une infrastructure contrôlée par les chercheurs.
L’enregistrement du domaine a retourné la propre vérification anti-analyse de KREMLIN contre la campagne. Les machines atteignant le domaine interprétaient la réponse comme une preuve de bac à sable et cessaient de progresser dans la chaîne d’infection.
Elastic a averti que l’intervention était temporaire. « Cela a temporairement dégradé et manipulé les mécanismes de défense de la campagne », ont écrit les chercheurs, affirmant que l’interruption pourrait donner aux défenseurs plus de temps pour localiser et nettoyer les points de terminaison affectés.
Les systèmes sont restés infectés, ce qui signifie que l’enregistrement n’a pas automatiquement supprimé KREMLIN des ordinateurs compromis. Le rapport d’Elastic indiquait que les machines affectées avaient été empêchées de dépasser l’étape d’infection concernée tant que le canari restait efficace.
Les données géographiques soutiennent l’évaluation antérieure des chercheurs selon laquelle le Brésil est la cible principale de la campagne. Des noms de fichiers en portugais, de faux messages d’erreur et des marques financières brésiliennes apparaissaient à plusieurs reprises dans les échantillons récupérés.
L’activité du portefeuille Ethereum relie plusieurs campagnes KREMLIN
L’analyse on-chain a aidé Elastic à relier différentes étapes de l’opération de logiciels malveillants. Les chercheurs ont identifié un seul portefeuille Ethereum utilisé pour déployer des contrats malveillants et mettre à jour leurs configurations. L’adresse était financièrement active avant l’apparition du premier contrat lié à KREMLIN, donnant aux enquêteurs une piste de transactions s’étendant sur plus d’un an.
Entre le 19 juin 2025 et le 24 août 2026, Elastic a identifié 82 transferts USDT associés au portefeuille. L’activité enregistrée totalisait environ 20 778,97 USDT reçus et 19 016,96 USDT envoyés. Les chercheurs ont déclaré que les transferts individuels ne pouvaient pas être classés de manière concluante comme un financement du développement de logiciels malveillants.
Le moment des transactions a fourni un autre indice d'attribution. Elastic a découvert qu'une grande partie de l'activité du portefeuille correspondait aux heures de travail dans le fuseau horaire UTC-3 utilisé par São Paulo, bien que les chercheurs aient présenté le Brésil comme un emplacement plausible de l'opérateur plutôt que comme une attribution confirmée.
La campagne a changé d'outillage au cours de sa durée de vie. Les vagues antérieures distribuaient PULSAR RAT, tandis que la branche plus récente liée à Ethereum a introduit REMCOS RAT aux côtés de l'extension de navigateur personnalisée. Elastic a identifié deux chaînes liées durant cette période, dont une qui utilise un exécutable SentinelOne signé légitime dans le cadre du processus de chargement.
Les équipes de sécurité peuvent utiliser les indicateurs publiés par Elastic Security Labs et son dépôt public d'IOC d'accompagnement pour vérifier la télémétrie des points de terminaison, des navigateurs et du réseau à la recherche d'artefacts liés à la campagne. Elastic a mappé l'activité aux techniques MITRE ATT&CK couvrant l'exécution, la persistance, l'accès aux identifiants, les extensions de navigateur, le command-and-control et l'exfiltration de données.
Les utilisateurs brésiliens de cryptomonnaies ont été ciblés par un malware distinct distribué via WhatsApp à la fin de 2025. Cette campagne ciblait les identifiants bancaires, fintech et de cryptomonnaies, mais n'était pas liée à REF9334.
La dernière chronologie blockchain publiée par Elastic montre que la configuration du contrat de KREMLIN a été modifiée jusqu'en août, tandis que ses observations d'infrastructure s'étendent jusqu'à la fin août 2026. Les chercheurs ont déclaré que le contrat Ethereum 0xCD7360…d07b restait en usage au moment de la préparation du rapport du 14 septembre.
