Il malware bancario KREMLIN prende di mira i browser Chromium in Brasile, affermano i ricercatori

I ricercatori di sicurezza hanno descritto un'operazione brasiliana di malware bancario che utilizza un toolkit noto come KREMLIN per installare estensioni dannose in Google Chrome e Microsoft Edge. Elastic Security Labs, che traccia l'attività come REF9334, ha dichiarato che la campagna è attiva almeno da maggio 2025 e utilizza principalmente esche che si spacciano per documenti bancari, fatture o documenti aziendali.

Le vittime che eseguono manualmente i file JavaScript camuffati attivano una catena di infezione in più fasi. Il malware verifica la presenza di macchine virtuali e ambienti sandbox prima di scaricare componenti aggiuntivi, stabilire la persistenza tramite attività pianificate e recuperare i dettagli dell'infrastruttura da uno smart contract di Ethereum.

L'uso di smart contract basati su blockchain consente agli operatori di aggiornare le posizioni del comando e controllo e dell'hosting dei payload senza dipendere da un insieme fisso di server convenzionali. Elastic ha affermato che il gruppo sembra aver adottato questo meccanismo a maggio 2026.

Installazione dell'estensione del browser

Le fasi finali includono un programma di installazione personalizzato e un'estensione dannosa del browser denominata “AVSync System Inc.”. Secondo quanto riportato, il programma di installazione sfrutta un eseguibile legittimo associato a SentinelOne per il DLL sideloading, caricando una DLL non firmata camuffata da componente correlato alla sicurezza.

Per aggiungere l'estensione ai browser basati su Chromium, KREMLIN modifica i file delle preferenze del browser e i dati di integrità correlati. I ricercatori hanno affermato che questo metodo può registrare l'estensione aggirando le protezioni progettate per impedire modifiche non autorizzate alle impostazioni delle estensioni di Chrome.

Una volta installata, l'estensione richiede autorizzazioni ampie che possono fornire accesso a schede, cookie, archivio del browser e richieste web. Secondo quanto riportato, può raccogliere informazioni di sessione correlate alle credenziali, contenuti delle pagine, screenshot, dettagli della scheda attiva e potenzialmente la cronologia del browser. Le informazioni rubate vengono trasmesse all'infrastruttura controllata dagli attaccanti tramite comunicazioni WebSocket e richieste inviate a percorsi progettati per assomigliare a risorse CSS.

Attività focalizzata sul Brasile

Elastic ha collegato l'operazione a esche che impersonano circa una dozzina di istituti finanziari brasiliani. I ricercatori hanno inoltre identificato attività precedenti che coinvolgevano estensioni dannose e strumenti di accesso remoto di uso comune, tra cui Pulsar RAT e Remcos RAT.

Nell'ambito del proprio comportamento di evasione, KREMLIN tenta di contattare un dominio non registrato per determinare se il traffico di rete venga simulato in un ambiente di analisi. Elastic ha registrato quel dominio e ha osservato 1.515 sistemi tentare il check-in; oltre il 98% sembrava trovarsi in Brasile.

• Le organizzazioni dovrebbero esaminare gli inventari delle estensioni del browser e rimuovere i componenti aggiuntivi non approvati.
• I team di sicurezza dovrebbero indagare su modifiche inattese ai file Secure Preferences di Chromium.
• Gli utenti dovrebbero evitare di aprire allegati JavaScript o file di documenti ricevuti tramite messaggi non richiesti.