Lebih dari 1.515 perangkat komputer, mayoritas berada di Brasil, terinfeksi operasi malware bernama KREMLIN yang menargetkan nasabah perbankan. Laporan teknis Elastic Security Labs pada 14 September 2026 mencatat aktivitas kelompok bersandi REF9334 ini sudah berlangsung sejak Mei 2025 lewat ekstensi browser Microsoft Edge dan Chrome berbahasa Portugis. Begitu terpasang, program jahat ini menyedot kredensial peramban, cookies, token sesi, dan data sensitif korban tanpa peringatan.
Tapi hal yang membuat taktik peretasan ini menonjol bukan alat curinya, melainkan cara mereka menyembunyikan server kendali.
Blockchain Sebagai Server Tahan Blokir
Penyerang mulai memasukkan Ethereum ke dalam infrastruktur mereka pada Mei 2026. Kontrak pintar pertama diluncurkan pada 19 Mei 2026, bukan untuk mengeksploitasi sistem konsensus, melainkan sebagai tempat menyimpan nilai konfigurasi. Kontrak ini berfungsi mengarahkan sistem komputer korban ke lokasi file installer dan pembaruan ekstensi berbahaya.
Firma keamanan SlowMist mengeluarkan peringatan intelijen ancaman terpisah pada 16 September 2026 untuk merespons komponen on-chain dari serangan ini. Praktik command-and-control lewat blockchain menyulitkan analis keamanan karena penyerang menggunakan buku besar publik sebagai sarana komunikasi yang sangat sulit diblokir dengan metode pemfilteran jaringan biasa.
Elastic melacak tiga kontrak Ethereum utama yang menopang operasi KREMLIN. Kontrak dengan alamat 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b masih berstatus aktif saat laporan dipublikasikan, ditopang dua alamat pelengkap yakni 0x902EDbFECFF38f285Bf26283fB9cEB3700061873 dan 0x64Def0A6099c4DE9C413B108EAae85A3C7457615. Sepanjang 15 bulan dan tujuh kampanye serangan, model kontrak mereka berevolusi dari konfigurasi statis menjadi sistem key-value dinamis yang bisa diubah oleh operator kapan saja.
Label Geografis yang Mengecoh
Meski nama malware memancing asumsi tentang asal usul peretas, laporan Elastic menemukan nol bukti soal keterlibatan entitas Rusia. Nama KREMLIN murni berasal dari handle atau nama samaran yang dipakai oleh si penulis kode. Sasaran utama mereka yang terpusat di Brasil dengan umpan teks berbahasa Portugis menguatkan fakta bahwa target serangan ini ditentukan oleh profil finansial perbankan lokal, bukan geopolitik.
📌 Baca JugaLayar Verifikasi Cloudflare Palsu Kuras $600 Ribu - Serangan Ini Tak Butuh Koneksi Wallet
Bagi pengguna biasa, pergeseran taktik on-chain ini membawa satu konsekuensi nyata. Ketika instruksi peretasan harian menyamar di dalam lalu lintas transaksi kripto publik, pertahanan paling rasional bagi nasabah adalah menolak memasang ekstensi peramban di luar sumber resmi.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
