吴说获悉，SlowMist 发布安全警报称，至少自 2025 年 5 月活跃的巴西银行木马行动 REF9334，其 KREMLIN 恶意软件生态使用多阶段加载器和恶意浏览器扩展窃取凭证、会话令牌及敏感数据，并可绕过 Chromium 完整性机制，在未经用户许可的情况下安装 Chrome 和 Edge 扩展。该行动还利用以太坊智能合约作为“死信解析器”，动态更新 C2 端点及载荷托管位置。分析人员发现，设置网络 Canary 域名后共有 1,515 台受感染主机回连，其中 98.75% 位于巴西。 https://wublock123.com/news/slowmist-kremlin-malware-uses-ethereum-smart-contracts-to-update-infrastructure-68486