Pesquisadores de segurança rastrearam mais de 1.500 infecções pelo malware KREMLIN após descobrirem uma campanha bancária brasileira que usa contratos inteligentes Ethereum para atualizar a infraestrutura de ataque e extensões maliciosas de navegador para roubar credenciais e dados de sessão.
Resumo
- A Elastic rastreou o KREMLIN em sete campanhas usando extensões maliciosas de navegador contra usuários de bancos brasileiros principalmente.
- Contratos inteligentes Ethereum permitem que os operadores do KREMLIN atualizem servidores de comando e locais de payload sem alterar o malware.
- A Elastic observou 1.515 sistemas infectados contatando seu domínio canário registrado, com 98,75% localizados no Brasil.
- O KREMLIN manipula as Preferências Seguras do Chromium para instalar extensões maliciosas do Chrome e Edge sem aprovação do usuário.
- Pesquisadores rastrearam 82 transferências de USDT através da carteira usada para implantar e atualizar contratos maliciosos.
O Elastic Security Labs divulgou a operação em um relatório técnico de 14 de setembro após rastrear a atividade sob REF9334 desde maio de 2025. Pesquisadores acompanharam sete campanhas ao longo de aproximadamente 15 meses e vincularam as versões mais recentes a extensões do Chrome e Microsoft Edge capazes de coletar credenciais de navegador, cookies, tokens de sessão e outras informações sensíveis.
A SlowMist emitiu um alerta de inteligência de ameaças em 16 de setembro chamando atenção para o componente blockchain da operação, incluindo três contratos Ethereum ligados à mudança de infraestrutura de comando e controle.
Apesar do nome KREMLIN, a Elastic disse que não encontrou evidências conectando a campanha à Rússia. O nome do kit de ferramentas vem do pseudônimo do autor do malware, enquanto as iscas se passam por bancos brasileiros, usam texto em português e alcançam predominantemente sistemas localizados no Brasil.
KREMLIN usa contratos Ethereum como livros de endereços mutáveis
O Ethereum entrou na operação em maio de 2026, quando pesquisadores observaram o primeiro contrato inteligente malicioso ligado à infraestrutura do KREMLIN.
A Elastic rastreou o primeiro contrato até 19 de maio. Ele armazenava valores de configuração apontando sistemas infectados para locais usados para o instalador e a extensão maliciosa de navegador. Contratos posteriores mudaram a estrutura e eventualmente passaram para um modelo de configuração chave-valor que poderia ser atualizado pelo operador.
O contrato atual identificado pela Elastic é 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b. Pesquisadores disseram que ele permanecia em uso quando seu relatório foi publicado. Contratos anteriores incluíam 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 e 0x64Def0A6099c4DE9C413B108EAae85A3C7457615.
Os contratos não representam um exploit do sistema de consenso ou da plataforma de contratos inteligentes do Ethereum. A Elastic descobriu que os atacantes usaram a blockchain como um resolvedor de dead-drop: máquinas infectadas leem valores de configuração dos contratos para localizar infraestrutura externa controlada ou abusada pelos operadores.
Tal design permite que os operadores alterem referências de infraestrutura atualizando valores on-chain enquanto deixam o malware inicial inalterado. A Elastic registrou atualizações de contrato apontando para diferentes domínios e arquivos hospedados, incluindo uma mudança de configuração main-v2 em 13 de agosto.
Crypto.news relatou em 2025 que pacotes npm maliciosos estavam usando contratos inteligentes Ethereum para recuperar infraestrutura de comando. Pesquisadores da ReversingLabs descreveram um modelo comparável no qual dados da blockchain continham locais usados para alcançar servidores controlados por atacantes.
A Microsoft descobriu campanhas ClickFix usando contratos inteligentes da BNB Chain para recuperar instruções de malware. As descobertas da Microsoft envolveram uma campanha separada, mas mostraram outro exemplo de blockchains públicas sendo usadas como infraestrutura para configuração de malware.
Extensões maliciosas podem entrar no Chrome e no Edge sem aprovação
O componente de navegador do KREMLIN usa uma técnica que permite que uma extensão não autorizada apareça devidamente registrada dentro de navegadores baseados em Chromium.
A Elastic disse que o instalador modifica os dados de Secure Preferences do Chrome ou Edge e regenera os HMACs e hashes de integridade criptografados que o navegador espera. Uma vez que esses valores correspondem, a extensão maliciosa pode carregar mesmo que o usuário nunca tenha aprovado uma instalação através da loja oficial de extensões.
A técnica em si é anterior à campanha KREMLIN. A empresa de segurança Synacktiv documentou a abordagem em 2025 sob a pesquisa intitulada The Phantom Extension, mostrando como um atacante com acesso a um sistema Windows poderia alterar registros de preferências do Chromium e carregar uma extensão através de mecanismos internos do navegador.
O KREMLIN operacionalizou essa técnica para roubo financeiro. A extensão analisada pela Elastic se disfarçava de um software chamado AVSync e solicitava acesso a abas, cookies, armazenamento do navegador e solicitações da web. Ela podia coletar dados salvos do navegador e interceptar informações durante sessões ativas na web.
O malware coleta bancos de dados do navegador contendo informações de login, cookies e dados de formulários armazenados. A Elastic descobriu que ele adquiriu material de criptografia necessário para acessar dados protegidos do navegador antes de enviar as informações coletadas para a infraestrutura controlada pelos atacantes.
A infecção inicial ainda requer a execução de um arquivo malicioso. A Elastic disse que a campanha distribui arquivos JavaScript disfarçados de recibos bancários, faturas ou documentos corporativos. Uma vez que a vítima executa o chamariz, o carregador verifica o ambiente antes de progredir através de estágios posteriores.
Marcas financeiras brasileiras personificadas no material da campanha incluíram Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander e Mercado Pago.
A Elastic contou 1.515 hosts infectados após interromper um kill switch
A Elastic obteve uma medida incomumente direta do alcance da campanha depois que os pesquisadores notaram que o KREMLIN verificava um domínio de internet não registrado como parte de seu processo anti-análise.
O malware foi projetado para testar se o domínio respondia. Uma resposta bem-sucedida fazia o programa assumir que estava operando dentro de um sandbox de análise e se encerrar. A Elastic registrou o domínio anteriormente não utilizado e o apontou para a infraestrutura controlada pelos pesquisadores.
Registrar o domínio virou a própria verificação anti-análise do KREMLIN contra a campanha. Máquinas que alcançavam o domínio interpretavam a resposta como evidência de um sandbox e paravam de progredir através da cadeia de infecção.
A Elastic alertou que a intervenção foi temporária. "Isso degradou e manipulou temporariamente os mecanismos de defesa da campanha", escreveram os pesquisadores, dizendo que a interrupção poderia dar aos defensores mais tempo para localizar e limpar endpoints afetados.
Os sistemas permaneceram infectados, o que significa que o registro não removeu automaticamente o KREMLIN dos computadores comprometidos. O relatório da Elastic disse que as máquinas afetadas foram impedidas de avançar além do estágio de infecção relevante enquanto o canário permanecesse eficaz.
Os dados geográficos apoiam a avaliação anterior dos pesquisadores de que o Brasil é o principal alvo da campanha. Nomes de arquivos em português, mensagens de erro falsas e marcas financeiras brasileiras apareceram repetidamente nas amostras recuperadas.
Atividade de carteira Ethereum liga múltiplas campanhas KREMLIN
A análise on-chain ajudou a Elastic a conectar diferentes estágios da operação de malware. Os pesquisadores identificaram uma única carteira Ethereum usada para implantar contratos maliciosos e atualizar suas configurações. O endereço estava financeiramente ativo antes do primeiro contrato ligado ao KREMLIN aparecer, dando aos investigadores um rastro de transações que abrange mais de um ano.
Entre 19 de junho de 2025 e 24 de agosto de 2026, a Elastic identificou 82 transferências de USDT associadas à carteira. A atividade registrada totalizou aproximadamente 20.778,97 USDT recebidos e 19.016,96 USDT enviados. Os pesquisadores disseram que transferências individuais não puderam ser conclusivamente classificadas como financiamento de desenvolvimento de malware.
O momento das transações forneceu outra pista de atribuição. A Elastic descobriu que grande parte da atividade da carteira coincidia com o horário de trabalho no fuso horário UTC-3 usado por São Paulo, embora os pesquisadores tenham apresentado o Brasil como um local plausível do operador, em vez de uma atribuição confirmada.
A campanha mudou de ferramentas ao longo de sua existência. Ondas anteriores distribuíam o PULSAR RAT, enquanto o ramo mais recente vinculado ao Ethereum introduziu o REMCOS RAT junto com a extensão de navegador personalizada. A Elastic identificou duas cadeias relacionadas durante esse período, incluindo uma que usa um executável legítimo assinado da SentinelOne como parte do processo de carregamento.
As equipes de segurança podem usar os indicadores publicados pelo Elastic Security Labs e seu repositório público de IOCs que o acompanha para verificar a telemetria de endpoint, navegador e rede em busca de artefatos ligados à campanha. A Elastic mapeou a atividade para técnicas do MITRE ATT&CK abrangendo execução, persistência, acesso a credenciais, extensões de navegador, comando e controle e exfiltração de dados.
Usuários brasileiros de criptomoedas foram alvo de um malware separado distribuído pelo WhatsApp no final de 2025. Essa campanha visava credenciais bancárias, de fintechs e de criptomoedas, mas não foi ligada ao REF9334.
A linha do tempo mais recente da blockchain publicada pela Elastic mostra a configuração do contrato do KREMLIN sendo modificada até agosto, enquanto suas observações de infraestrutura se estendem até o final de agosto de 2026. Os pesquisadores disseram que o contrato Ethereum 0xCD7360…d07b permanecia em uso quando o relatório de 14 de setembro foi preparado.
