Un malware poate instala extensii Chrome și Edge fără acordul utilizatorului: cum funcționează atacul

Un malware folosit într-o serie de atacuri bancare poate trece peste verificările de integritate ale browserelor bazate pe Chromium și poate instala extensii malițioase în Chrome și Edge fără ca victima să își dea acordul. Operațiunea, urmărită de cercetătorii Elastic Security Labs, este activă cel puțin din 2025 și folosește un toolkit denumit KREMLIN pentru a fura date de autentificare, tokenuri de sesiune și alte informații sensibile.

Atacul începe într-un mod aparent banal. Victima deschide un fișier JavaScript care se prezintă drept o chitanță bancară, o factură, o dovadă de plată sau un document de afaceri. Dacă fișierul trece verificările prin care malware-ul încearcă să identifice mediile de analiză și sandbox-urile, acesta afișează o eroare falsă, în timp ce descarcă Node.js și își pregătește persistența pe sistem printr-o sarcină programată. Ulterior, locația următorului payload este obținută prin intermediul unui contract inteligent Ethereum, scrie Bleeping Computer.

KREMLIN poate face extensia malițioasă să pară legitimă

Una dintre cele mai neobișnuite componente ale atacului este modul în care KREMLIN instalează extensiile în Chrome și Edge. În loc să aștepte ca utilizatorul să confirme instalarea, malware-ul așteaptă închiderea browserului sau îl termină atunci când detectează că acesta nu este folosit. Apoi copiază extensia direct în directoarele de profil ale browserului, activează modul pentru dezvoltatori și o înregistrează în fișierul Secure Preferences utilizat de Chromium.

Problema apare la verificarea integrității acestor setări. Chromium folosește mecanisme criptografice pentru a detecta modificările neautorizate ale preferințelor browserului, însă KREMLIN încearcă să reproducă exact aceste verificări. Malware-ul extrage cheile criptografice folosite de browser pentru protejarea datelor sensibile și generează din nou HMAC-urile și hashurile criptate necesare. În acest fel, extensia poate apărea ca fiind validă pentru browser, deși nu a fost aprobată de utilizator.

Elastic descrie metoda drept una documentată, dar observată rar în malware. După instalare, extensia se prezintă sub numele AVSync și poate avea acces la o cantitate considerabilă de informații și acțiuni din browser. Printre acestea se numără cookie-urile, datele din local storage și session storage, precum și textul introdus în formulare, inclusiv parole.

În plus, extensia poate realiza capturi de ecran și ale sursei paginilor, poate identifica filele deschise și istoricul de navigare și poate intercepta corpul și anteturile solicitărilor HTTP. Atacatorii pot injecta HTML controlat de la distanță în site-uri, pot redirecționa clicurile către destinații alese de ei și pot transmite comenzi printr-o conexiune WebSocket.

Atacul a vizat în principal sisteme din Brazilia

KREMLIN nu se limitează însă la extensia instalată în browser. Toolkitul funcționează și ca un instrument de furt de informații, capabil să arhiveze și să exfiltreze baze de date ale browserului, cookie-uri, extensii instalate și cheile criptografice App-Bound necesare pentru decriptarea anumitor date protejate.

Vezi și:

Chrome nu poate face asta pe Android, dar Vivaldi da: extensiile de pe PC ajung pe telefon

Cum muți conversațiile dintre ChatGPT, Claude și Gemini fără să pierzi contextul

Potrivit Elastic, operațiunea este asociată cu o campanie braziliană care a derulat cel puțin șapte campanii începând din mai 2025 și a folosit momeli care imitau 12 bănci. În campaniile mai recente a fost folosit și REMCOS, un instrument de acces de la distanță, în timp ce operațiunile anterioare au apelat la Pulsar RAT. Cercetătorii consideră că schimbarea ar putea avea legătură cu numărul mai mare de funcții oferite de REMCOS.

Infrastructura atacului folosește și metode mai puțin obișnuite pentru a ascunde sau recupera componentele malware-ului. Contractele inteligente Ethereum sunt utilizate ca mecanism de tip dead-drop resolver pentru furnizarea locației payload-urilor, iar Internet Archive este abuzat pentru găzduirea unor fișiere ascunse în imagini JPEG.

Analiza infrastructurii și a elementelor de cod le-a permis cercetătorilor să identifice portofelul Ethereum folosit pentru implementarea și actualizarea contractelor inteligente. Acesta a gestionat aproximativ 20.800 USDT în transferuri primite și 19.000 USDT în transferuri trimise. Elastic a identificat până acum 1.515 sisteme infectate, aproape toate fiind localizate în Brazilia.

Cercetătorii Elastic Security Labs au reușit să perturbe campania KREMLIN aflată în desfășurare prin înregistrarea unui domeniu pe care malware-ul îl folosea drept „canar” anti-sandbox. După ce domeniul a fost controlat de cercetători, mecanismul de verificare a început să genereze rezultate false, iar loaderul a oprit procesul de infectare pe sistemele care, în condiții normale, ar fi fost considerate potrivite pentru atac.

Elastic a publicat, de asemenea, detalii despre tacticile și tehnicile folosite în aceste atacuri, împreună cu indicatorii de compromitere care pot ajuta la identificarea activității asociate cu KREMLIN.

EXPERIENȚĂ Sony ULT TOWER 5 versus Sony ULT TOWER 7 – ce înseamnă o boxă de petrecere portabilă în 2026 și care este cea mai potrivită pentru amatorul de bass din tine