ETH 合約當死信箱：銀行木馬自己換 C2

巴西那套銀行木馬來真的了——Elastic 管它叫 KREMLIN / REF9334，至少從 2025 年 5 月起，用假銀行單據騙你跑一段 JS，再往 Chrome / Edge 裏塞你從沒點過同意的擴展。

狠的是 C2 不寫死域名：載荷去問以太坊合約當死信箱，參數一改，下載地址和下一步域名跟着換，關服務器關不掉這條線。擴展僞裝成「AVSync System Inc.」，改 Secure Preferences 僞造完整性校驗，瀏覽器當正規裝載。

Elastic 登記了它的網絡金絲雀域名之後，回連主機記到 1515 臺，將近 99% 在巴西。你以爲「上鍊=抗審查」挺酷，銀行木馬也這麼用。別把陌生 .js 發票當正經文件雙擊。