슬로우미스트(SlowMist): KREMLIN 악성코드, 이더리움 스마트 계약 이용해 공격 인프라 동적 업데이트

PANews 9월 16일 소식, 슬로우미스트(SlowMist) 모니터링에 따르면, 적어도 2025년 5월부터 활동해 온 브라질 은행 악성코드 캠페인 REF9334가 최근 공개되었다. 해당 캠페인의 KREMLIN 악성코드 생태계는 다단계 로더와 악성 브라우저 확장 프로그램을 사용해 자격 증명, 세션 토큰 및 민감한 데이터를 탈취한다. 악성 확장 프로그램은 Secure Preferences, HMAC 및 App-Bound 암호화 해시 등을 포함한 Chromium 무결성 메커니즘을 우회하여 사용자 승인 없이 Chrome과 Edge에 설치될 수 있다. 또한 이 캠페인은 이더리움 스마트 계약을 "죽은 편지 해석기"로 사용하여 C2 엔드포인트와 페이로드 호스팅 위치를 동적으로 업데이트한다. 네트워크 카나리 도메인을 등록한 후, 분석가들은 1515대의 감염된 호스트가 접속했으며, 이 중 98.75%가 브라질에 위치해 있다. 슬로우미스트는 보안 팀이 관련 악성코드, 브라우저 확장 프로그램 활동 및 해당 캠페인과 관련된 인프라를 모니터링할 것을 권고한다.