브라질 은행 악성코드, 이더리움 스마트컨트랙트로 주소 갱신

크렘린(KREMLIN) 악성코드가 이더리움 스마트컨트랙트를 이용해 공격 인프라와 악성코드 다운로드 주소를 갱신한 것으로 분석됐다. 슬로우미스트(SlowMist)는 이 악성코드 사례를 공개했다.

크렘린은 브라질 은행을 겨냥해 크롬과 엣지에 악성 확장 프로그램을 설치하고 로그인 정보와 세션 토큰 등을 탈취하는 악성코드다. 엘라스틱 시큐리티 랩스(Elastic Security Labs)는 공식 보고서에서 관련 활동이 최소 2025년 5월부터 이어졌으며 15개월 동안 7개 캠페인이 확인됐다고 밝혔다.

엘라스틱 시큐리티 랩스는 공식 보고서에서 크렘린이 예약 작업으로 감염을 유지한 뒤 이더리움 스마트컨트랙트에서 페이로드와 명령·제어(C2) 인프라 주소를 받아온다고 설명했다. 공격자는 스마트컨트랙트에 저장된 주소를 바꿔 초기 악성코드를 다시 배포하지 않고도 공격 인프라를 갱신할 수 있다.