KREMLIN, malware-ul care fură parole şi sesiuni din Chrome şi Edge, vine din Brazilia

Numele poate sugera o legătură cu Rusia, însă malware-ul KREMLIN are, de fapt, origini în Brazilia. Potrivit cercetătorilor în securitate cibernetică, acesta este utilizat de o grupare infracţională implicată în fraude bancare şi vizează în special calculatoarele care pot oferi acces la informaţii financiare.

Campania este activă cel puţin din jumătatea anului 2025 şi foloseşte documente false, precum facturi, chitanţe sau alte acte financiare, pentru a convinge victimele să deschidă fişiere infectate. Printre ţintele potenţiale se află şi angajaţii companiilor, în special cei care lucrează cu informaţii contabile sau au acces la conturi bancare.

Odată ajuns pe computer, KREMLIN încearcă să compromită browsere precum Google Chrome şi Microsoft Edge, instalând extensii maliţioase fără ca utilizatorul să realizeze ce se întâmplă.

KREMLIN transformă Chrome şi Edge în instrumente pentru furtul de date

Extensiile instalate de malware pot monitoriza activitatea utilizatorului în browser şi colecta informaţii extrem de sensibile.

Potrivit cercetătorilor de la Elastic Security Labs, acestea pot intercepta cookie-uri, istoricul de navigare şi parolele introduse în paginile web. În plus, malware-ul poate înregistra apăsările de taste şi realiza capturi de ecran, informaţiile fiind transmise ulterior către operatorii atacului.

Datele colectate îi permit grupării să identifice victimele care prezintă cel mai mare interes. Dacă atacatorii consideră că un anumit computer oferă acces la informaţii valoroase, cazul poate deveni ţinta unei operaţiuni mai complexe şi personalizate.

În alte situaţii, atacul poate fi mai direct. Atunci când victima încearcă să acceseze site-ul unei bănci, malware-ul o poate redirecţiona către o pagină falsă care imită site-ul original. Datele de autentificare introduse acolo ajung astfel la atacatori.

Cum începe infectarea cu malware-ul KREMLIN

Procesul de infectare porneşte, aparent, de la un fişier JavaScript deghizat într-un document financiar legitim. Acesta poate fi prezentat sub forma unei chitanţe bancare, a unei facturi, a unei confirmări de plată sau a unui document comercial.

După deschiderea fişierului, malware-ul încearcă să evite mecanismele de protecţie ale sistemului. Potrivit cercetătorilor, acesta poate genera inclusiv o eroare falsă pentru a distrage atenţia utilizatorului, în timp ce descarcă în fundal componentele necesare atacului.

Printre acestea se află şi Node.js, folosit ulterior pentru executarea anumitor componente ale malware-ului.

KREMLIN îşi asigură şi persistenţa pe dispozitiv prin intermediul unei sarcini programate, ceea ce îi permite să rămână activ şi după repornirea computerului.

Un alt element neobişnuit este modul în care atacatorii ascund infrastructura utilizată în campanie. Cercetătorii au descoperit că malware-ul poate obţine adresa de descărcare a fişierului maliţios prin procesarea unui smart contract de pe reţeaua Ethereum.

Malware-ul a imitat deja cel puţin 12 bănci

Campania KREMLIN nu pare să fie una de amploare globală în acest moment. Cercetătorii au identificat însă cel puţin 12 instituţii bancare a căror identitate a fost folosită în cadrul atacurilor.

Majoritatea ţintelor identificate se află în America de Sud, ceea ce este compatibil cu originea braziliană a grupării din spatele campaniei.

Faptul că malware-ul se concentrează asupra browserelor bazate pe Chromium reprezintă însă un motiv de îngrijorare. Chrome şi Edge folosesc acest motor, iar tehnicile utilizate de KREMLIN ar putea fi adaptate şi pentru alte ţinte atât timp cât mecanismele exploatate rămân disponibile.

Cercetătorii au reuşit să perturbe temporar campania

Elastic Security Labs a identificat şi o metodă prin care a putut întrerupe temporar mecanismul folosit de KREMLIN.

Cercetătorii au înregistrat în mod legitim un domeniu utilizat de malware ca mecanism de verificare şi protecţie împotriva analizării în medii de testare. Prin preluarea domeniului, aceştia au reuşit să blocheze temporar una dintre componentele infrastructurii folosite pentru propagarea malware-ului.

Măsura nu înseamnă însă că ameninţarea a fost eliminată definitiv. Operatorii campaniei pot modifica infrastructura şi pot utiliza alte domenii, ceea ce face ca astfel de intervenţii să ofere, în principal, o întrerupere temporară a activităţii.

Pentru utilizatori, cazul KREMLIN reprezintă încă un exemplu despre modul în care un document aparent banal, precum o factură sau o confirmare de plată, poate deveni punctul de plecare pentru un atac mult mai complex, capabil să compromită browserul şi să expună datele utilizate pentru accesarea serviciilor bancare.