Iniciar sesiónRegístrate
Depositar
Conectar
Transferir
Investigadores de seguridad han rastreado más de 1.500 infecciones del malware KREMLIN tras descubrir una campaña bancaria brasileña que utiliza contratos inteligentes de Ethereum para actualizar la infraestructura de ataque y extensiones maliciosas de navegador para robar credenciales y datos de sesión.
Elastic Security Labs reveló la operación en un informe técnico del 14 de septiembre, después de rastrear la actividad bajo REF9334 desde mayo de 2025. Los investigadores siguieron siete campañas durante aproximadamente 15 meses y vincularon las últimas versiones a extensiones de Chrome y Microsoft Edge capaces de recopilar credenciales del navegador, cookies, tokens de sesión y otra información sensible.
SlowMist emitió una alerta de inteligencia de amenazas el 16 de septiembre, llamando la atención sobre el componente blockchain de la operación, incluyendo tres contratos de Ethereum vinculados a la infraestructura cambiante de comando y control.
A pesar del nombre KREMLIN, Elastic afirmó no haber encontrado pruebas que conecten la campaña con Rusia. El nombre del kit de herramientas proviene del alias del autor del malware, mientras que los señuelos suplantan a bancos brasileños, utilizan texto en portugués y afectan abrumadoramente a sistemas ubicados en Brasil.
Ethereum entró en la operación en mayo de 2026, cuando los investigadores observaron el primer contrato inteligente malicioso vinculado a la infraestructura de KREMLIN.
Elastic rastreó el primer contrato hasta el 19 de mayo. Este almacenaba valores de configuración que apuntaban los sistemas infectados hacia ubicaciones utilizadas para el instalador y la extensión de navegador maliciosa. Contratos posteriores cambiaron la estructura y finalmente se movieron a un modelo de configuración de clave-valor que podía ser actualizado por el operador.
El contrato actual identificado por Elastic es 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b. Los investigadores señalaron que seguía en uso cuando se publicó su informe. Contratos anteriores incluían 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 y 0x64Def0A6099c4DE9C413B108EAae85A3C7457615.
Los contratos no representan una explotación del sistema de consenso de Ethereum ni de su plataforma de contratos inteligentes. Elastic descubrió que los atacantes utilizaban la blockchain como un resolvedor de puntos de encuentro: las máquinas infectadas leen los valores de configuración de los contratos para localizar infraestructura externa controlada o abusada por los operadores.
Este diseño permite a los operadores cambiar las referencias de infraestructura actualizando los valores en cadena mientras el malware inicial permanece inalterado. Elastic registró actualizaciones de contratos que apuntaban a diferentes dominios y archivos alojados, incluyendo un cambio de configuración principal-v2 el 13 de agosto.
Crypto.news informó en 2025 que paquetes npm maliciosos estaban utilizando contratos inteligentes de Ethereum para recuperar la infraestructura de comando. Investigadores de ReversingLabs describieron un modelo comparable en el que los datos de la blockchain contenían ubicaciones utilizadas para alcanzar servidores controlados por atacantes.
Microsoft encontró campañas de ClickFix que utilizaban contratos inteligentes de BNB Chain para recuperar instrucciones de malware. Los hallazgos de Microsoft involucraron una campaña separada, pero mostraron otro ejemplo de blockchains públicas siendo utilizadas como infraestructura para la configuración de malware.
El componente de navegador de KREMLIN utiliza una técnica que permite que una extensión no autorizada aparezca correctamente registrada dentro de los navegadores basados en Chromium.
Elastic afirmó que el instalador modifica los datos de Preferencias Seguras de Chrome o Edge y regenera los HMAC y los hashes de integridad cifrados que el navegador espera. Una vez que esos valores coinciden, la extensión maliciosa puede cargarse aunque el usuario nunca haya aprobado una instalación a través de la tienda oficial de extensiones.
La técnica en sí es anterior a la campaña KREMLIN. La firma de seguridad Synacktiv documentó el enfoque en 2025 bajo una investigación titulada The Phantom Extension, mostrando cómo un atacante con acceso a un sistema Windows podría alterar los registros de preferencias de Chromium y cargar una extensión a través de mecanismos internos del navegador.
KREMLIN operacionalizó esa técnica para el robo financiero. La extensión analizada por Elastic se hacía pasar por un software llamado AVSync y solicitaba acceso a pestañas, cookies, almacenamiento del navegador y solicitudes web. Podía recopilar datos guardados del navegador e interceptar información durante sesiones web activas.
El malware recopila bases de datos del navegador que contienen información de inicio de sesión, cookies y datos de formularios almacenados. Elastic descubrió que adquiría el material de cifrado necesario para acceder a los datos protegidos del navegador antes de enviar la información recopilada a la infraestructura controlada por los atacantes.
La infección inicial aún requiere la ejecución de un archivo malicioso. Elastic afirmó que la campaña distribuye archivos JavaScript disfrazados de recibos bancarios, facturas o documentos corporativos. Una vez que la víctima ejecuta el señuelo, el cargador verifica el entorno antes de avanzar a las etapas posteriores.
Las marcas financieras brasileñas suplantadas en el material de la campaña incluían Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander y Mercado Pago.
Elastic obtuvo una medida inusualmente directa del alcance de la campaña después de que los investigadores notaran que KREMLIN verificaba un dominio de internet no registrado como parte de su proceso antianálisis.
El malware fue diseñado para probar si el dominio respondía. Una respuesta exitosa hizo que el programa asumiera que estaba operando dentro de un entorno de análisis (sandbox) y se terminara a sí mismo. Elastic registró el dominio previamente no utilizado y lo dirigió a la infraestructura controlada por los investigadores.
Las máquinas infectadas comenzaron entonces a contactar la dirección recién registrada. Elastic contabilizó 1.515 sistemas en el momento de la publicación, con un 98,75% geolocalizados en Brasil. Los investigadores afirmaron que el número estaba aumentando rápidamente.
El registro del dominio volvió el propio chequeo antianálisis de KREMLIN en contra de la campaña. Las máquinas que llegaban al dominio interpretaron la respuesta como evidencia de un sandbox y dejaron de avanzar en la cadena de infección.
Elastic advirtió que la intervención era temporal. “Esto ha degradado y manipulado temporalmente los mecanismos de defensa de la campaña”, escribieron los investigadores, añadiendo que la interrupción podría dar a los defensores más tiempo para localizar y limpiar los puntos finales afectados.
Los sistemas permanecieron infectados, lo que significa que el registro no eliminó automáticamente KREMLIN de los ordenadores comprometidos. El informe de Elastic indicó que las máquinas afectadas habían sido impedidas de avanzar más allá de la etapa de infección relevante mientras el señuelo seguía siendo efectivo.
Los datos geográficos apoyan la evaluación anterior de los investigadores de que Brasil es el objetivo principal de la campaña. Nombres de archivo en portugués, mensajes de error falsos y marcas financieras brasileñas aparecieron repetidamente en las muestras recuperadas.
El análisis on-chain ayudó a Elastic a conectar diferentes etapas de la operación de malware. Los investigadores identificaron una única billetera de Ethereum utilizada para desplegar contratos maliciosos y actualizar sus configuraciones. La dirección estaba financieramente activa antes de que apareciera el primer contrato vinculado a KREMLIN, lo que proporcionó a los investigadores un rastro de transacciones que abarca más de un año.
Entre el 19 de junio de 2025 y el 24 de agosto de 2026, Elastic identificó 82 transferencias de USDT asociadas con la billetera. La actividad registrada totalizó aproximadamente 20.778,97 USDT recibidos y 19.016,96 USDT enviados. Los investigadores afirmaron que las transferencias individuales no podían clasificarse de manera concluyente como financiación para el desarrollo de malware.
El momento de las transacciones proporcionó otra pista de atribución. Elastic descubrió que gran parte de la actividad de la billetera coincidía con las horas de trabajo en la zona horaria UTC-3 utilizada por São Paulo, aunque los investigadores presentaron Brasil como una ubicación plausible del operador en lugar de una atribución confirmada.
La campaña ha cambiado sus herramientas a lo largo de su vida útil. Oleadas anteriores distribuyeron PULSAR RAT, mientras que la rama más reciente vinculada a Ethereum introdujo REMCOS RAT junto con la extensión de navegador personalizada. Elastic identificó dos cadenas relacionadas durante este período, incluida una que utiliza un ejecutable legítimo firmado de SentinelOne como parte del proceso de carga.
Los equipos de seguridad pueden utilizar los indicadores publicados por Elastic Security Labs y su repositorio público de IOCs para verificar la telemetría de endpoints, navegadores y redes en busca de artefactos vinculados a la campaña. Elastic mapeó la actividad a las técnicas MITRE ATT&CK que cubren ejecución, persistencia, acceso a credenciales, extensiones de navegador, comando y control, y exfiltración de datos.
Usuarios brasileños de criptomonedas fueron blanco de un malware separado distribuido por WhatsApp a finales de 2025. Esa campaña apuntó a credenciales bancarias, fintech y de criptomonedas, pero no estaba vinculada a REF9334.
La última línea de tiempo de blockchain publicada por Elastic muestra que la configuración del contrato de KREMLIN fue modificada hasta agosto, mientras que sus observaciones de infraestructura se extienden hasta finales de agosto de 2026. Los investigadores afirmaron que el contrato de Ethereum 0xCD7360…d07b seguía en uso cuando se preparó el informe del 14 de septiembre.
ETH
USDT