Kremlin malware folosește contracte inteligente Ethereum pentru actualizări

Blockchainul face botnetul mai rezistent?

Cercetătorii în securitate au identificat peste 1.500 de infecții active ale familiei de malware Kremlin în Brazilia. Campania vizează clienții bancari prin extensii de browser malițioase, distribuite în Chrome și Edge.

Malware-ul funcționează printr-un sistem sofisticat de comandă și control (C&C), care se bazează pe contracte inteligente Ethereum pentru actualizarea infrastructurii. Descoperirea evidențiază o tendință nouă în operațiunile de amenințare bazate pe criptomonedă. Activitatea a fost confirmată recent, iar amenințarea rămâne activă în regiune.

Atacatorii exploatează browserele populare pentru a-și stabili o prezență pe dispozitivele utilizatorilor. Distribuie extensii malițioase care par legitime. Odată instalate, acestea captează credențialele de autentificare sensibile și fură datele de sesiune pentru acces persistent. Malware-ul nu se bazează exclusiv pe comunicarea tradițională cu serverele. În schimb, interoghează contracte inteligente Ethereum specifice pentru instrucțiuni. Aceste contracte acționează ca depozite dinamice de configurare.

Când malware-ul verifică blockchain-ul, recuperează parametri actualizați. Acest lucru le permite atacatorilor să modifice comportamentul fără a modifica codul și să comute rapid între serverele de atac. Dacă un server devine offline, contractul inteligent indică unul nou.

Această reziliență face botnetul mai greu de întrerupt.

Utilizarea Ethereum introduce un element descentralizat în lanțul de atac. Botneturile tradiționale eșuează adesea când serverele centrale sunt oprite.

Stocând datele de configurare pe blockchain, atacatorii creează un registru imutabil. Modificările acestor date necesită taxe de tranzacție și verificare. Acest proces adaugă o complexitate suplimentară pentru apărători.

De ce aleg atacatorii extensiile de browser?

Cercetătorii au observat că contractele inteligente stochează obiecte JSON. Acestea conțin liste de servere C&C active. Malware-ul analizează aceste date pentru a determina unde trimite informațiile furate.

Metoda asigură că, chiar dacă unele noduri eșuează, altele rămân active. Integrarea arată cum cibercriminalii se adaptează la tehnologiile moderne, estompând granița dintre aplicațiile financiare și infrastructura de amenințare.

Extensiile de browser reprezintă un vector puternic de compromitere. Utilizatorii instalează frecvent ad-on-uri fără a examina permisiunile. Extensiile malițioase pot citi conținutul paginilor și captura intrările din formulare. Ele operează în contextul încrederii motorului de browser, ocolind multe controale de securitate standard. În campania Kremlin, extensiile vizează site-uri bancare specifice. Monitorizează activitatea utilizatorilor în timpul tranzacțiilor online.

Tokenurile de sesiune furate permit atacatorilor să preia sesiuni active, oferind acces imediat la conturi fără a mai avea nevoie de parole. Combinația dintre colectarea bazată pe extensii și controlul bazat pe blockchain creează un pipeline robust. Aceasta minimizează necesitatea actualizărilor frecvente ale codului.

Atacatorii pot împinge reguli noi pur și simplu prin actualizarea contractului inteligent.

Implicațiile pentru instituțiile financiare sunt semnificative. Băncile trebuie să ia în considerare amenințările la nivel de browser în strategiile lor de apărare.

Protecția standard a endpoint-urilor poate rata ad-on-urile malițioase. Organizațiile ar trebui să auditeze extensiile instalate în mod regulat. Utilizatorii trebuie educați despre riscurile plugin-urilor terțe.

Întrebări frecvente?

Pe măsură ce mai multe familii de malware adoptă componente blockchain, apărătorii se confruntă cu provocări noi. Urmărirea acestor amenințări necesită monitorizarea atât a traficului de rețea, cât și a activității blockchain. Campania Kremlin demonstrează că activele cripto servesc scopuri duble: facilitează plățile și susțin acum securitatea operațională a atacatorilor.

Viitoarele campanii vor extinda probabil acest model. Echipele de securitate trebuie să se pregătească pentru amenințări hibride care traversează multiple domenii. Lupta pentru integritatea browserului a devenit un front critic în apărarea digitală.

Câte infecții au fost detectate în această campanie? Cercetătorii au urmărit peste 1.500 de infecții legate de malware-ul Kremlin.

Aceste cazuri au fost găsite în principal în Brazilia. Campania a vizat utilizatorii serviciilor bancare majore.

Ce rol joacă contractele inteligente Ethereum?

Contractele inteligente stochează datele de configurare pentru malware. Ele furnizează adrese de server actualizate și reguli de comportament. Acest lucru permite botnetului să se adapteze dinamic, fără modificări de cod.

Ce browsere sunt afectate de extensiile malițioase? Campania vizează atât Google Chrome, cât și Microsoft Edge. Aceste browsere sunt utilizate pe scară largă pentru bancă online. Baza lor mare de utilizatori le face ținte prime pentru furtul de credențiale.