Le malware bancaire KREMLIN cible les navigateurs Chromium au Brésil, selon des chercheurs

Des chercheurs en sécurité ont détaillé une opération brésilienne de malware bancaire qui utilise une boîte à outils connue sous le nom de KREMLIN pour installer des extensions malveillantes dans Google Chrome et Microsoft Edge. Elastic Security Labs, qui suit cette activité sous l’identifiant REF9334, a indiqué que la campagne est active au moins depuis mai 2025 et utilise principalement des leurres se faisant passer pour des documents bancaires, des factures ou des documents professionnels.

Les victimes qui exécutent manuellement les fichiers JavaScript déguisés déclenchent une chaîne d’infection en plusieurs étapes. Le malware vérifie la présence de machines virtuelles et d’environnements sandbox avant de télécharger des composants supplémentaires, d’établir sa persistance via des tâches planifiées et de récupérer les détails de l’infrastructure à partir d’un contrat intelligent Ethereum.

L’utilisation de contrats intelligents basés sur la blockchain permet aux opérateurs de mettre à jour les emplacements de commande et contrôle ainsi que d’hébergement de charges utiles sans dépendre d’un ensemble fixe de serveurs conventionnels. Elastic a indiqué que le groupe semble avoir adopté ce mécanisme en mai 2026.

Installation d’extensions de navigateur

Les dernières étapes incluent un installateur personnalisé et une extension de navigateur malveillante nommée « AVSync System Inc. ». L’installateur abuserait d’un exécutable légitime associé à SentinelOne pour effectuer un chargement latéral de DLL, en chargeant une DLL non signée déguisée en composant lié à la sécurité.

Pour ajouter l’extension aux navigateurs basés sur Chromium, KREMLIN modifie les fichiers de préférences du navigateur et les données d’intégrité associées. Les chercheurs ont indiqué que cette méthode peut enregistrer l’extension tout en contournant les protections conçues pour empêcher les modifications non autorisées des paramètres d’extensions de Chrome.

Une fois installée, l’extension demande de larges autorisations pouvant donner accès aux onglets, aux cookies, au stockage du navigateur et aux requêtes Web. Elle pourrait collecter des informations de session liées aux identifiants, le contenu des pages, des captures d’écran, les détails de l’onglet actif et, potentiellement, l’historique du navigateur. Les informations dérobées sont transmises à une infrastructure contrôlée par les attaquants via des communications WebSocket et des requêtes adressées à des chemins conçus pour ressembler à des ressources CSS.

Activité ciblant le Brésil

Elastic a lié l’opération à des leurres usurpant l’identité d’environ une douzaine d’institutions financières brésiliennes. Les chercheurs ont également identifié une activité antérieure impliquant des extensions malveillantes et des outils d’accès à distance courants, notamment Pulsar RAT et Remcos RAT.

Dans le cadre de son comportement d’évasion, KREMLIN tente de contacter un domaine non enregistré afin de déterminer si le trafic réseau est simulé dans un environnement d’analyse. Elastic a enregistré ce domaine et observé 1 515 systèmes tentant d’effectuer cette vérification ; plus de 98 % semblaient être situés au Brésil.

• Les organisations devraient examiner les inventaires d’extensions de navigateur et supprimer les modules complémentaires non approuvés.
• Les équipes de sécurité devraient enquêter sur les modifications inattendues des fichiers Secure Preferences de Chromium.
• Les utilisateurs devraient éviter d’ouvrir des pièces jointes JavaScript ou des fichiers de documents reçus dans des messages non sollicités.