Desde mediados de 2025, una operación brasileña utiliza el toolkit KREMLIN para instalar extensiones maliciosas en Chrome y Edge que roban credenciales y datos sensibles sin consentimiento del usuario. El ataque comienza con archivos JavaScript disfrazados de documentos bancarios y emplea contratos inteligentes de Ethereum para gestionar sus cargas útiles. Elastic Security Labs ha identificado más de 1,500 sistemas infectados, principalmente en Brasil, y logró interrumpir la campaña mediante el registro de un dominio estratégico.





Una operación de malware bancario activa desde mediados de 2025 ha estado utilizando un conjunto de herramientas llamado KREMLIN para instalar extensiones maliciosas de Chrome y Edge que roban credenciales, tokens de sesión y datos confidenciales.

Investigadores de Elastic Security Labs descubrieron que las extensiones maliciosas evaden los mecanismos de integridad de Chromium y se cargan en los navegadores como si hubieran sido aprobadas por el usuario.

La cadena de infección comienza después de que el usuario objetivo abre un archivo JavaScript disfrazado de recibo bancario, factura, registro de pago o documento comercial.

Tras superar las comprobaciones anti-sandbox, el archivo activa un error falso mientras simultáneamente descarga Node.js, establece la persistencia a través de una tarea programada y recupera la ubicación de la carga útil adicional desde un contrato inteligente de Ethereum.

A pesar del nombre, KREMLIN está vinculado a una operación brasileña responsable de al menos siete campañas desde mayo de 2025 que utilizan señuelos suplantando a 12 bancos.

Instalando complementos de chrome y edge

Una característica destacada de KREMLIN es su capacidad para instalar extensiones en los navegadores Chrome y Edge sin pedir la aprobación del usuario.

Espera a que el navegador se cierre o lo termina cuando detecta un estado de inactividad, y luego copia la extensión en los directorios de perfil de la aplicación. A continuación, habilita el modo de desarrollador y añade la extensión a las Preferencias Seguras de Chromium.

Para ocultar su actividad, el malware utiliza las claves de cifrado que el navegador emplea para proteger los datos confidenciales y luego recrea las comprobaciones de integridad que Chrome utiliza para detectar cambios en las preferencias del navegador.

Esto hace que la extensión maliciosa parezca válida para el navegador a pesar de no haber sido nunca aprobada por el usuario, una técnica documentada en este enlace pero raramente utilizada según los investigadores.

“KREMLIN utiliza una técnica documentada raramente observada en el malware: copia manualmente la extensión en los directorios de perfil del navegador y la registra en el archivo de Preferencias Seguras”, explica Elastic en este enlace.

“Debido a que Chromium protege estas entradas con comprobaciones de integridad criptográfica, el malware debe recuperar las claves requeridas y regenerar los HMAC y hashes cifrados asociados”.

Una vez instalada, la extensión se hace pasar por AVSync y realiza las siguientes acciones:

* Roba cookies, almacenamiento local y almacenamiento de sesión
* Registra las teclas (keylogging) del texto introducido en formularios, incluyendo contraseñas
* Captura capturas de pantalla y el código fuente de la página
* Enumera las pestañas abiertas y el historial de navegación
* Intercepta los cuerpos y encabezados de las solicitudes HTTP
* Inyecta HTML controlado por el atacante en los sitios web
* Redirige los clics a destinos seleccionados por el atacante
* Recibe comandos a través de una conexión WebSocket

Aparte de la extensión maliciosa, el conjunto de herramientas KREMLIN también actúa como un info-stealer que puede archivar y exfiltrar bases de datos del navegador, cookies, extensiones instaladas y las claves criptográficas App-Bound necesarias para descifrar datos protegidos.

Resumen de la cadena de ataque REF9334
Fuente: Elastic

interrumpiendo la operación

Los investigadores de Elastic Security Labs descubrieron que las campañas de malware KREMLIN utilizan contratos inteligentes de Ethereum como resolutores de entrega (dead-drop resolvers) y también abusan del servicio Internet Archive para alojar cargas útiles ocultas dentro de imágenes JPEG.

En campañas más recientes, el actor de la amenaza desplegó la herramienta de acceso remoto REMCOS, aunque operaciones anteriores impulsaron el Pulsar RAT. Según los investigadores, el cambio se debió probablemente a que REMCOS posee más funciones.

Al conectar los puntos mediante el análisis de infraestructura y artefactos de código, los investigadores encontraron la billetera de Ethereum que desplegó y actualizó los contratos inteligentes.

Según los investigadores, la billetera manejó aproximadamente 20,800 USDT (Tether) en transferencias entrantes y 19,000 USDT en salientes, respectivamente. Elastic ha confirmado 1,515 sistemas infectados, casi todos ubicados en Brasil.

La firma de seguridad interrumpió la campaña actual de KREMLIN registrando un dominio que el malware utilizaba como canario anti-sandbox, provocando que el cargador se detuviera debido a falsas alarmas en sistemas que, de otro modo, calificarían para la infección.

Los investigadores de Elastic Security Labs compartieron las tácticas y técnicas utilizadas en los ataques de KREMLIN, así como un conjunto de indicadores de compromiso en este enlace.

Fuente:
BleepingComputer