Investigadores detectaron KREMLIN, un malware bancario brasileño que utiliza extensiones maliciosas de Chrome y Edge para robar credenciales y datos sensibles. La operación destaca por usar contratos inteligentes de Ethereum para ocultar su infraestructura de mando y control. El ataque comienza con archivos JavaScript falsos y emplea técnicas avanzadas para evadir sandboxes y sistemas de seguridad.







Investigadores de ciberseguridad han revelado una operación de malware bancario brasileño previamente indocumentada que despliega un conjunto de herramientas llamado KREMLIN.

Elastic Security Labs está rastreando la actividad bajo el nombre de REF9334. Activo desde al menos mayo de 2025, el actor de amenazas ha utilizado señuelos que suplantan a una docena de bancos brasileños e instalan una extensión de navegador maliciosa en Google Chrome y Microsoft Edge.

"El ecosistema del malware KREMLIN emplea cargadores de JavaScript de múltiples etapas, instaladores de C++ personalizados y extensiones de navegador maliciosas para robar credenciales, tokens de sesión y datos sensibles", afirmaron los investigadores de seguridad Cyril François y Andrew Pease en un informe técnico.

"Las extensiones de navegador maliciosas evaden los mecanismos de integridad de Chromium manipulando las Preferencias Seguras y regenerando los HMAC requeridos y los hashes cifrados vinculados a la aplicación".

Un aspecto definitorio de la operación es el uso de blockchain para ocultar la infraestructura controlada por el atacante, aprovechando contratos inteligentes de Ethereum como resolutores de "dead drop" para actualizar dinámicamente los endpoints de comando y control (C2) y las ubicaciones de alojamiento de la carga útil, evitando así que sea interrumpida.

El punto de partida de KREMLIN es un archivo JavaScript que se hace pasar por un documento bancario, una factura o un documento de empresa y es ejecutado manualmente por la víctima. Al hacerlo, se activa un cargador de múltiples etapas que solo continúa si no se está ejecutando dentro de un sandbox o máquina virtual, descargando e instalando cargas adicionales antes de lanzar la siguiente etapa.

La segunda etapa está diseñada para realizar cuatro tareas: establecer persistencia mediante una tarea programada, recuperar ubicaciones de descarga de un contrato inteligente de Ethereum, descargar los binarios necesarios desde esas ubicaciones y ejecutar la tercera etapa. Las URLs de la carga útil alojan los siguientes programas:

* Un instalador de extensión de navegador maliciosa
* Inyector PE de .NET
* "SentinelMemoryScanner.exe", un binario legítimo asociado con SentinelOne que se utiliza para el DLL sideloading

Específicamente, el instalador de C++ abusa del binario de SentinelOne para cargar lateralmente su carga útil principal no firmada, que suplanta a "SentinelAgentCore.dll". Una vez lanzada, la DLL realiza comprobaciones de evasión de sandbox y máquina virtual similares a las del cargador de JavaScript, escaneando la lista de procesos en ejecución y verificando las propiedades del hardware, como el número de CPUs y la capacidad de RAM.

Si alguno de los procesos coincide con un nombre en su lista predefinida, y si el sistema no tiene 2 CPUs o supera los 3 GB de RAM, el malware finaliza su ejecución. KREMLIN también se conecta al mismo contrato inteligente de Ethereum para obtener dos dominios – volmira[.]site y zaviro[.]online – y consulta el primero para obtener la versión de la extensión ("1.0.0") y el ID ("ndpbidppejfanjbhfgjlohfanbfbklff"). La extensión se identifica como "AVSync System Inc."

"Antes de descargar el archivo, el malware comprueba si la extensión ya está instalada y, en caso afirmativo, compara la versión instalada con la reportada por el servidor", dijeron los investigadores. "Descarga la extensión solo cuando no se encuentra una instalación local o las versiones difieren. Luego descarga la extensión de Chrome como un archivo ZIP".



Para instalar la extensión en navegadores basados en Chromium, utiliza una técnica de evasión de integridad documentada públicamente llamada Phantom Extension y GhostChrome-X sin activar el mecanismo de protección de Preferencias Seguras. La idea es modificar el archivo de Preferencias Seguras, activar el modo desarrollador de Chrome y actualizar el objeto JSON "protection.macs" con metadatos falsificados para registrar la extensión maliciosa.

Cabe destacar que el mismo enfoque fue adoptado por el actor APT31 vinculado a China en una campaña de finales de agosto de 2026 que utilizó el kit de exploits BlueMoon para instalar una extensión de robo de credenciales llamada GemStone.

Una vez instalada la extensión, KREMLIN comienza a recolectar y exfiltrar datos del navegador de cada perfil hacia su servidor C2 ("luizestrelhashapr[.]online:443"), pero no antes de solicitar un acceso exhaustivo a pestañas, cookies, almacenamiento y la API webRequest. También genera un identificador de víctima único que se guarda en el almacenamiento del navegador y se incluye en las comunicaciones con el C2.

La extensión admite los siguientes comandos tras establecer un canal WebSocket con el servidor C2:

* Hacer capturas de pantalla de la pestaña seleccionada o activa y subir una imagen comprimida
* Enumerar pestañas, dominios y estado activo, y subir la lista
* Robar cookies, sessionStorage y localStorage de la pestaña seleccionada o activa
* Recolectar hasta 1.000 entradas del historial de los últimos 15 días
* Extraer y subir el código HTML completo de la página seleccionada o activa
* Descargar HTML controlado por el atacante
* Actualizar la configuración

Además de WebSocket, la extensión consulta periódicamente un endpoint "/google_api/" mediante solicitudes que se hacen pasar por descargas de archivos CSS. Cada una de estas rutas está mapeada a un comando específico:

* 108766d0.css, para subir cookies y almacenamiento
* 41f7b187.css, para subir IDs de pestañas, dominios y estado de pestaña activa
* b83fa72d.css, para subir el historial del navegador comprimido de los últimos 15 días
* 0f51ad2f.css, para subir una captura de pantalla JPEG comprimida, junto con la URL de la página y el ID del cliente
* e4cce14e.css, para subir el HTML completo de la página comprimido, junto con la URL de la página y el ID del cliente
* 6c0c92f6.css, para subir solicitudes interceptadas
* 81d47cb6.css, para obtener la configuración de objetivos que contiene una lista de dominios y reglas de interceptación HTTP
* a98cb43d.css, para obtener reglas de redireccionamiento que contienen URLs de destino

Se estima que los actores detrás de KREMLIN han estado activos desde al menos mayo de 2025, instalando extensiones maliciosas y distribuyendo troyanos conocidos como Pulsar RAT y Remcos RAT. Se dice que la transición a los contratos inteligentes de Ethereum ocurrió el 19 de mayo de 2026. En total, el grupo ha sido atribuido a siete campañas distintas desde el 16 de junio de 2025.

Como parte de su mecanismo anti-sandbox, el malware realiza una comprobación de "canario de red" intentando descargar una página de un dominio no registrado. Dicho de otro modo, si recibe una respuesta válida, probablemente indica un sandbox que está simulando la conectividad de red. En tal escenario, el malware se bloquea deliberadamente.

Elastic afirmó que registró el dominio canario de red e identificó 1.515 sistemas infectados intentando conectarse a él. Más del 98% de los sistemas están geolocalizados en Brasil.

"Por lo tanto, aunque estos sistemas sigan infectados con el componente final de KREMLIN, esto ha degradado y manipulado temporalmente los mecanismos de defensa de la campaña y podría proporcionar a los defensores tiempo adicional para identificar y remediar los endpoints infectados", señaló Elastic.

Fuente:
THN