Nova kampanja zlonamjernog softvera pod nazivom KREMLIN aktivno kruži i dizajnirana je da infiltrira Chrome i Edge preglednike bez potrebe za odobrenjem korisnika. Prema istraživačima iz Elastic Security Labsa, bankarski trojanac, aktivan od sredine 2025. godine, širi se putem krivotvorenih finansijskih dokumenata i može tiho instalirati zlonamjerna proširenja , iskorištavajući Chromiumove mehanizme integriteta kako bi ostao neotkriven.
Operacija, povezana s brazilskom grupom, pokrenula je najmanje sedam kampanja od maja 2025. godine, predstavljajući se kao desetak banaka. Kada žrtva otvori JavaScript datoteku prikrivenu kao račun, fakturu ili bankovnu komunikaciju, započinje proces zaraze, koji uključuje preuzimanje Node.js-a i kreiranje zakazanog zadatka za održavanje sistema.
Ovako Kremlj uspijeva instalirati ekstenzije bez izazivanja sumnje
Tihi proces instalacije jedna je od najzabrinjavajućih karakteristika Kremlja. Zlonamjerni softver stalno prati status preglednika i čeka da se zatvori ili, ako otkrije neaktivnost, prisilno ga prekida. U tom trenutku kopira zlonamjerni dodatak u direktorije profila preglednika , aktivira način rada za razvojne programere i registruje ekstenziju u datoteci Secure Preferences, koju Chromium koristi za validaciju autoriziranih dodataka.
Da bi sve izgledalo legitimno, KREMLJ preuzima ključeve za šifriranje koje sam preglednik koristi za zaštitu osjetljivih podataka i regenerira heševe i kodove integriteta. Na taj način preglednik prihvata ekstenziju kao da ju je korisnik odobrio , iako nikada nije prošla kroz nikakav proces pregleda.
Koje informacije je sposobno ukrasti
Nakon instalacije, zlonamjerna ekstenzija se maskira kao AVSync i počinje izdvajati sve vrste podataka iz preglednika. Prema istraživanju, sposobna je ukrasti kolačiće, podatke o sesiji i lokalnu pohranu , kao i bilježiti svaki pritisak tipke u obrascima, uključujući lozinke.
Također može praviti snimke ekrana, snimati izvorni kod posjećenih stranica, prikazivati otvorene kartice i historiju pregledavanja, te presresti HTTP zahtjeve za ubacivanje sadržaja kojim upravlja napadač. Sve ovo je regulirano WebSocket vezom koja prima naredbe u stvarnom vremenu, što KREMLIN čini izuzetno svestranim alatom za špijuniranje.
Nadalje, ovaj alat djeluje kao kradljivac informacija sposoban da ukrade baze podataka preglednika, kolačiće, instalirane ekstenzije i kriptografske ključeve potrebne za dešifriranje zaštićenih podataka. Istraživači kompanije Elastic potvrdili su da je zlonamjerni softver aktivan na najmanje 1.515 sistema, od kojih se većina nalazi u Brazilu, te da je trenutna kampanja zaustavljena registracijom domene koju je infrastruktura koristila kao mamac protiv sandboxa.
Pojava KREMLJA pokazuje da sajber kriminalci usavršavaju svoje tehnike kako bi zaobišli zaštitu preglednika i pristupili osjetljivim informacijama korisnika. Održavanje sistema i ekstenzija ažurnim, oprez prema neočekivanim bankovnim datotekama i redovno pregledavanje instaliranih dodataka neke su od mjera koje mogu pomoći u sprječavanju ovakvih vrsta infekcija.