KREMLIN 악성코드, 이더리움 스마트 컨트랙트 악용해 공격 인프라 동적 업데이트

Odaily 보도에 따르면, SlowMist 모니터링 결과 2025년 5월부터 활동한 브라질 은행 대상 악성코드 작전 REF9334가 최근 공개되었다. 해당 작전의 KREMLIN 악성코드 생태계는 다단계 로더와 악성 브라우저 확장 프로그램을 통해 자격 증명, 세션 토큰 및 민감 데이터를 탈취하며, Chromium 무결성 메커니즘을 우회하여 사용자 승인 없이 Chrome 및 Edge 브라우저에 설치할 수 있다. 또한 이 작전은 이더리움 스마트 컨트랙트를 '데드 레터 리졸버(Dead Drop Resolver)'로 활용하여 C2 엔드포인트와 페이로드 호스팅 위치를 동적으로 업데이트한다. 분석가들이 Canary 도메인을 등록한 후 1515대의 감염 호스트가 체크인하는 것을 관찰했으며, 이 중 98.75%가 브라질에 위치해 있다.