Peneliti Keamanan Mengungkap Kampanye Malware KREMLIN
Peneliti keamanan telah melacak lebih dari 1.500 infeksi malware KREMLIN setelah mengungkap kampanye perbankan Brasil yang menggunakan kontrak pintar Ethereum untuk memperbarui infrastruktur serangan dan ekstensi browser jahat yang bertujuan mencuri kredensial serta data sesi. Elastic Security Labs mengungkapkan operasi ini dalam laporan teknis yang dirilis pada 14 September, setelah melacak aktivitas di bawah kode REF9334 sejak Mei 2025.
Peneliti mengikuti tujuh kampanye selama sekitar 15 bulan dan mengaitkan versi terbaru dengan ekstensi Chrome dan Microsoft Edge yang mampu mengumpulkan kredensial browser, cookie, token sesi, dan informasi sensitif lainnya. SlowMist mengeluarkan peringatan intelijen ancaman pada 16 September yang menyoroti komponen blockchain dari operasi ini, termasuk tiga kontrak Ethereum yang terkait dengan perubahan infrastruktur komando dan kontrol. Meskipun bernama KREMLIN, Elastic menyatakan tidak menemukan bukti yang menghubungkan kampanye ini dengan Rusia. Nama toolkit ini berasal dari nama penulis malware, sementara umpan yang digunakan meniru bank-bank Brasil, menggunakan teks berbahasa Portugis dan sebagian besar menjangkau sistem yang terletak di Brasil.
Perkembangan Kontrak Pintar dalam Operasi KREMLIN
Pada Mei 2026, Ethereum mulai terlibat dalam operasi ini ketika peneliti mengamati kontrak pintar jahat pertama yang terkait dengan infrastruktur KREMLIN. Elastic melacak kontrak pertama pada 19 Mei, yang menyimpan nilai konfigurasi yang mengarahkan sistem yang terinfeksi ke lokasi yang digunakan untuk penginstal dan ekstensi browser jahat. Kontrak-kontrak selanjutnya mengubah struktur dan akhirnya beralih ke model konfigurasi kunci-nilai yang dapat diperbarui oleh operator.
Kontrak saat ini yang diidentifikasi oleh Elastic adalah 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b, yang tetap digunakan saat laporan ini diterbitkan. Kontrak sebelumnya termasuk 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 dan 0x64Def0A6099c4DE9C413B108EAae85A3C7457615. Kontrak-kontrak tersebut tidak mewakili eksploitasi sistem konsensus Ethereum atau platform kontrak pintar. Elastic menemukan bahwa para penyerang menggunakan blockchain sebagai resolver dead-drop: mesin yang terinfeksi membaca nilai konfigurasi dari kontrak untuk menemukan infrastruktur eksternal yang dikendalikan atau disalahgunakan oleh operator.
Teknik Pencurian Data dan Distribusi Malware
Komponen browser KREMLIN menggunakan teknik yang memungkinkan ekstensi yang tidak sah muncul terdaftar dengan benar di dalam browser berbasis Chromium. Elastic menyatakan bahwa penginstal memodifikasi data Preferensi Aman Chrome atau Edge dan menghasilkan kembali HMAC serta hash integritas terenkripsi yang diharapkan oleh browser. Setelah nilai-nilai tersebut cocok, ekstensi jahat dapat dimuat meskipun pengguna tidak pernah menyetujui instalasi melalui toko ekstensi resmi.
Teknik itu sendiri sudah ada sebelum kampanye KREMLIN. Perusahaan keamanan Synacktiv mendokumentasikan pendekatan tersebut pada 2025 dalam penelitian berjudul The Phantom Extension, menunjukkan bagaimana seorang penyerang dengan akses ke sistem Windows dapat mengubah catatan preferensi Chromium dan memuat ekstensi melalui mekanisme internal browser. KREMLIN mengoperasionalkan teknik itu untuk pencurian finansial.
Ekstensi yang dianalisis oleh Elastic menyamar sebagai perangkat lunak bernama AVSync dan meminta akses ke tab, cookie, penyimpanan browser, dan permintaan web. Ia dapat mengumpulkan data browser yang disimpan dan mencegat informasi selama sesi web aktif. Malware ini mengumpulkan basis data browser yang berisi informasi login, cookie, dan data formulir yang disimpan.
Distribusi dan Target Kampanye
Infeksi awal masih memerlukan eksekusi file jahat. Elastic melaporkan bahwa kampanye ini mendistribusikan file JavaScript yang menyamar sebagai kwitansi bank, faktur, atau dokumen perusahaan. Setelah korban mengeksekusi umpan, loader memeriksa lingkungan sebelum melanjutkan ke tahap selanjutnya. Merek keuangan Brasil yang dipalsukan dalam materi kampanye termasuk Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander, dan Mercado Pago.
Elastic memperoleh ukuran yang tidak biasa langsung dari jangkauan kampanye setelah peneliti memperhatikan bahwa KREMLIN memeriksa domain internet yang tidak terdaftar sebagai bagian dari proses anti-analisisnya. Malware ini dirancang untuk menguji apakah domain tersebut merespons. Respon yang berhasil menyebabkan program menganggap bahwa ia beroperasi di dalam sandbox analisis dan menghentikan dirinya sendiri.
“Ini telah sementara merusak dan memanipulasi mekanisme pertahanan kampanye,” tulis para peneliti, menambahkan bahwa gangguan tersebut dapat memberi pembela lebih banyak waktu untuk menemukan dan membersihkan titik akhir yang terpengaruh.
Analisis On-Chain dan Aktivitas Dompet
Analisis on-chain membantu Elastic menghubungkan berbagai tahap operasi malware. Peneliti mengidentifikasi satu dompet Ethereum yang digunakan untuk menerapkan kontrak jahat dan memperbarui konfigurasinya. Alamat tersebut aktif secara finansial sebelum kontrak pertama yang terkait dengan KREMLIN muncul, memberikan penyelidik jejak transaksi yang membentang lebih dari setahun.
Antara 19 Juni 2025 dan 24 Agustus 2026, Elastic mengidentifikasi 82 transfer USDT yang terkait dengan dompet tersebut. Aktivitas yang tercatat total sekitar 20.778,97 USDT diterima dan 19.016,96 USDT dikirim. Peneliti menyatakan bahwa transfer individu tidak dapat secara meyakinkan diklasifikasikan sebagai pendanaan pengembangan malware.
Waktu transaksi memberikan petunjuk atribusi lain. Elastic menemukan bahwa sebagian besar aktivitas dompet sejalan dengan jam kerja di zona waktu UTC-3 yang digunakan oleh São Paulo, meskipun peneliti menyajikan Brasil sebagai lokasi operator yang mungkin alih-alih atribusi yang dikonfirmasi.
Kampanye ini telah mengubah alat selama masa hidupnya. Gelombang sebelumnya mendistribusikan PULSAR RAT, sementara cabang baru yang terkait dengan Ethereum memperkenalkan REMCOS RAT bersama dengan ekstensi browser kustom. Elastic memetakan aktivitas tersebut ke teknik MITRE ATT&CK yang mencakup eksekusi, ketahanan, akses kredensial, ekstensi browser, komando dan kontrol, serta eksfiltrasi data.
Pengguna crypto Brasil menjadi target malware terpisah yang didistribusikan melalui WhatsApp pada akhir 2025. Kampanye itu menargetkan kredensial perbankan, fintech, dan cryptocurrency tetapi tidak terkait dengan REF9334. Timeline blockchain terbaru yang diterbitkan oleh Elastic menunjukkan konfigurasi kontrak KREMLIN dimodifikasi hingga Agustus, sementara pengamatan infrastrukturnya meluas hingga akhir Agustus 2026.
