KREMLIN-Banking-Malware nimmt Chromium-Browser in Brasilien ins Visier, sagen Forscher

Sicherheitsforscher haben eine brasilianische Banking-Malware-Operation beschrieben, die ein Toolkit namens KREMLIN nutzt, um bösartige Erweiterungen in Google Chrome und Microsoft Edge zu installieren. Elastic Security Labs, das die Aktivität als REF9334 verfolgt, erklärte, dass die Kampagne mindestens seit Mai 2025 aktiv sei und hauptsächlich Köder verwendet, die sich als Bank-, Rechnungs- oder Geschäftsdokumente ausgeben.

Opfer, die die getarnten JavaScript-Dateien manuell ausführen, lösen eine mehrstufige Infektionskette aus. Die Malware prüft auf virtuelle Maschinen und Sandbox-Umgebungen, bevor sie zusätzliche Komponenten herunterlädt, über geplante Aufgaben Persistenz herstellt und Infrastrukturdetails aus einem Ethereum-Smart-Contract abruft.

Die Nutzung blockchainbasierter Smart Contracts ermöglicht es den Akteuren, Command-and-Control- und Payload-Hosting-Adressen zu aktualisieren, ohne auf eine feste Gruppe herkömmlicher Server angewiesen zu sein. Elastic zufolge scheint die Gruppe diesen Mechanismus im Mai 2026 übernommen zu haben.

Installation von Browser-Erweiterungen

Die letzten Phasen umfassen ein benutzerdefiniertes Installationsprogramm und eine bösartige Browser-Erweiterung namens „AVSync System Inc.“. Berichten zufolge missbraucht das Installationsprogramm eine legitime, mit SentinelOne verbundene ausführbare Datei für DLL-Sideloading und lädt eine unsignierte DLL, die als sicherheitsrelevante Komponente getarnt ist.

Um die Erweiterung zu Chromium-basierten Browsern hinzuzufügen, verändert KREMLIN Browser-Einstellungsdateien und zugehörige Integritätsdaten. Die Forscher erklärten, dass diese Methode die Erweiterung registrieren kann, während sie Schutzmechanismen umgeht, die unbefugte Änderungen an den Erweiterungseinstellungen von Chrome verhindern sollen.

Nach der Installation fordert die Erweiterung weitreichende Berechtigungen an, die Zugriff auf Tabs, Cookies, Browserspeicher und Webanfragen ermöglichen können. Berichten zufolge kann sie sitzungsbezogene Informationen zu Zugangsdaten, Seiteninhalte, Screenshots, Details zum aktiven Tab und möglicherweise den Browserverlauf erfassen. Die gestohlenen Informationen werden über WebSocket-Kommunikation und Anfragen an Pfade, die CSS-Ressourcen ähneln sollen, an von Angreifern kontrollierte Infrastruktur übertragen.

Auf Brasilien ausgerichtete Aktivitäten

Elastic brachte die Operation mit Ködern in Verbindung, die sich als rund ein Dutzend brasilianische Finanzinstitute ausgaben. Die Forscher identifizierten außerdem frühere Aktivitäten mit bösartigen Erweiterungen und gängigen Remote-Access-Tools, darunter Pulsar RAT und Remcos RAT.

Im Rahmen seines Umgehungsverhaltens versucht KREMLIN, eine nicht registrierte Domain zu kontaktieren, um festzustellen, ob Netzwerkverkehr in einer Analyseumgebung simuliert wird. Elastic registrierte diese Domain und beobachtete 1.515 Systeme, die versuchten, sich zu melden; mehr als 98 % schienen sich in Brasilien zu befinden.

• Organisationen sollten ihre Bestände an Browser-Erweiterungen überprüfen und nicht genehmigte Add-ons entfernen.
• Sicherheitsteams sollten unerwartete Änderungen an Chromium-Secure-Preferences-Dateien untersuchen.
• Nutzer sollten vermeiden, JavaScript-Anhänge oder Dokumentdateien zu öffnen, die sie über unaufgefordert zugesandte Nachrichten erhalten.