Una nova campanya de codi maliciós batejada com KREMLIN està circulant activament i ha estat dissenyada per colar-se als navegadors Chrome i Edge sense que l'usuari hagi d'aprovar cap instal·lació. Segons els investigadors d'Elastic Security Labs, el troià bancari, actiu des de mitjans del 2025, es propaga a través de documents financers falsos i és capaç d' instal·lar extensions malicioses de manera silenciosa , aprofitant els mecanismes d'integritat de Chromium per passar desapercebut.
L'operació, vinculada a un grup brasiler, ha llançat almenys set campanyes des del maig del 2025 suplantant una dotzena de bancs. Quan la víctima obre un fitxer JavaScript disfressat de rebut, factura o comunicació bancària, s'inicia el procés d'infecció, que inclou la descàrrega de Node.js i la creació d'una tasca programada per mantenir la persistència al sistema.
Així aconsegueix KREMLIN instal·lar extensions sense aixecar sospites
El procés d'instal·lació silenciosa és una de les característiques més preocupants de KREMLIN. El codi maliciós monitoritza en tot moment l'estat del navegador i espera que aquest es tanqui o, si detecta inactivitat, ho acaba per força. En aquest moment, copia el complement maliciós als directoris del perfil del navegador , activa el mode de desenvolupador i registra l'extensió al fitxer Secure Preferences, que Chromium utilitza per validar els complements autoritzats.
Perquè tot sembli legítim, KREMLIN recupera les claus de xifratge que el navegador fa servir per protegir dades sensibles i regenera els hashes i codis d'integritat. D'aquesta manera, el navegador accepta l'extensió com si hagués estat aprovada per l'usuari , encara que mai no ha passat per cap procés de revisió.
Quina informació és capaç de robar
Un cop instal·lada, l'extensió maliciosa es camufla sota el nom AVSync i comença a extreure tota mena de dades del navegador. Segons les investigacions, és capaç de robar galetes, dades de sessió i emmagatzematge local , així com registrar cada pulsació de teclat en formularis, incloses les contrasenyes.
També podeu prendre captures de pantalla, capturar el codi font de les pàgines visitades, enumerar pestanyes obertes i historial de navegació, i interceptar peticions HTTP per injectar contingut controlat pels atacants. Tot això ho fa governat per una connexió WebSocket que rep ordres en temps real, fet que converteix KREMLIN en una eina d'espionatge extremadament versàtil.
A més, el toolkit actua com un lladre d'informació capaç d'exfiltrar les bases de dades del navegador, les galetes, les extensions instal·lades i les claus criptogràfiques necessàries per desxifrar les dades protegides. Els investigadors d'Elastic han confirmat que el codi maliciós està actiu en almenys 1.515 sistemes, la majoria al Brasil, i que s'ha aconseguit frenar la campanya actual registrant un domini que la infraestructura utilitzava com a esquer anti-sandbox.
L'aparició de KREMLIN demostra que els ciberdelinqüents estan perfeccionant les tècniques per eludir les proteccions dels navegadors i accedir a la informació sensible dels usuaris. Mantenir actualitzats el sistema i les extensions, desconfiar de fitxers bancaris inesperats i revisar periòdicament els complements instal·lats són algunes de les mesures que poden ajudar a evitar aquest tipus d'infeccions.