Банковият зловреден софтуер KREMLIN инфектира над 1 500 системи със зловредно разширение за Chrome

KREMLIN е операция за банков зловреден код, която инсталира враждебно разширение за браузър на инфектирани компютри. Разширението може да събира пароли, сесийни бисквитки и други данни, които могат да позволят на киберпрестъпниците да влязат в онлайн профили.

Кампанията започва с фалшиви JavaScript документи, които се представят за банкови записи или фактури. Веднъж отворени, те инсталират компоненти и насочват атаката към профилите на Chrome и Edge.

Примамките са написани на португалски език и се представят за бразилски банки и услуги за плащане. Дейността се е провеждала в рамките на седем кампании в продължение на 15 месеца. Изследователите са проследили 1515 инфектирани системи, 98,75 процента от които са в Бразилия.

От Elastic заявиха в доклад, споделен с Cyber Security News (CSN), че поемането на контрола върху техния мрежов канарче (canary) временно е спряло разпространението на тези инфекции.

Името KREMLIN не сочи към руска операция. Изследователите оценяват, че кампанията е фокусирана върху Бразилия въз основа на нейния език, примамките на банкова тематика и моделите на активност.

Нейната опасност се крие в комбинирането на позната социално инженерство с достъп на ниво браузър — маршрут, който може да заобиколи предпазливостта, която потребителите обикновено прилагат към съмнителни страници за вход.

KREMLIN Banking Malware Infects Over 1,500 Systems

След като първоначалната жертва изпълни примамката, KREMLIN използва няколко етапа, за да избегне анализа и да зареди своя инсталатор. Той проверява дали системата изглежда като изолирана среда, създава планирана задача (scheduled task) и извлича нови детайли за хостинг от смарт договор на Ethereum.

Тази настройка улеснява операторите да променят инфраструктурата, без да пренастройват всеки образец. Инсталаторът копира разширението в папките с профили на Chrome и Edge, заобикаляйки официалния магазин.

Той променя защитените предпочитания на Chrome и пресъздава проверките, които обикновено потвърждават настройките на разширенията. Това позволява на браузъра да третира добавката като одобрена, въпреки че потребителят никога не я е инсталирал.

Разширението се представя за AVSync и изисква достъп до раздели (tabs), бисквитки, хранилище на браузъра и мрежови заявки. То може да прави екранни снимки, да изброява отворени раздели, да събира бисквитки и съхранени уеб данни, да прихваща въведен текст и да инжектира контролирано от атакуващия съдържание в страниците.

Подобни бразилски атаки с разширения за браузъри показват защо добавките за браузъри са се превърнали в ценен път към банкови идентификационни данни.

То също така архивира бази данни на браузъра и ключове за криптиране, преди да изпрати данните отдалечено. Открадната сесийна бисквитка може да позволи на натрапник да използва повторно автентикиран профил.

Читателите могат да сравнят по-широкия риск в кампании със зловредни разширения за Chrome, където разширенията са злоупотребявали с обширни разрешения в браузъра, за да събират чувствителна информация.

Banking Lures and Response

Операторите са развили набора от инструменти от май 2025 г. По-ранните кампании са доставяли други инструменти за отдалечен достъп заедно със зловредните разширения, докато по-новата активност използва конфигурация, хоствана на блокчейн, и подписан компонент на програма за сигурност, за да зареди неподписан зловреден файл.

Споделената инфраструктура подсказва за координиран контрол върху веригата на инфекция. Най-новата кампания е насочена към бразилски потребители с имена на файлове, наподобяващи разписки, записи за плащания, банкови извлечения и документи за незабавни плащания.

Фалшиво съобщение за грешка може да прикрие инфекцията. Тази комбинация от достоверно изглеждащи документи и тиха инсталация превръща обичайните навици за отваряне на файлове в проблем за сигурността. Организациите трябва да предупредят персонала си, че банките и доставчиците на плащания обикновено не изпращат JavaScript файлове като документи.

Те трябва да блокират скриптови файлове, получени чрез имейл или съобщения, където е възможно, да проверяват планираните задачи и профилите на браузъра за неоторизирани промени и да търсят индикаторите по-долу.

Екипите, реагиращи на съмнение за инфекция, трябва да изолират устройството, да премахнат зловредното разширение, да нулират засегнатите пароли от чиста система и да отменят активните сесии.

Потребителите трябва да прегледат всяко инсталирано разширение в браузъра и да премахнат непознатите записи, особено добавки с широк достъп до уебсайтове, бисквитки или раздели. Използвайте официални банкови приложения или запазени сайтове, а не връзки от съобщения.

Това съветване съвпада с поуките от разширения, открадващи пароли и сесии, където промяната на данните за достъп и отмяната на сесии от чисто устройство бяха от решаващо значение след излагане на риск. Временното прекъсване чрез канарчето осигурява време на защитниците, а не гаранция, че заплахата е изчезнала.

Използването на променлива онлайн конфигурация от KREMLIN означава, че защитниците трябва да следят за поведение, както и да блокират известната инфраструктура. Прегледите на браузъра, филтрирането на имейли, мониторингът на крайните точки и отмяната на сесии могат да ограничат щетите.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено дезактивирани (напр. [.]), за да се предотврати случайно разрешаване или хипервръзка. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.