ETH 合约当死信箱：银行木马自己换 C2

巴西那套银行木马来真的了——Elastic 管它叫 KREMLIN / REF9334，至少从 2025 年 5 月起，用假银行单据骗你跑一段 JS，再往 Chrome / Edge 里塞你从没点过同意的扩展。

狠的是 C2 不写死域名：载荷去问以太坊合约当死信箱，参数一改，下载地址和下一步域名跟着换，关服务器关不掉这条线。扩展伪装成「AVSync System Inc.」，改 Secure Preferences 伪造完整性校验，浏览器当正规装载。

Elastic 登记了它的网络金丝雀域名之后，回连主机记到 1515 台，将近 99% 在巴西。你以为「上链=抗审查」挺酷，银行木马也这么用。别把陌生 .js 发票当正经文件双击。