Phát hiện malware ngân hàng KREMLIN nhắm vào Chrome và Edge
"Researchers identified KREMLIN, a previously undocumented Brazilian banking malware operation active since at least May 2025 that targets Chrome and Edge with malicious browser extensions to steal credentials, session tokens, cookies, and other browser data. The campaign uses multi-stage JavaScript loaders, C++ DLL sideloading, and Ethereum smart contracts for dynamic C2 resolution; mitigation centers on blocking the loaders, malicious extension installation, and associated infrastructure, with no CVE reported in the article."
Rủi ro cao do đánh cắp thông tin đăng nhập, session token và dữ liệu trình duyệt; hạ tầng C2 động làm tăng độ khó phát hiện và ngăn chặn.
Có thể gây chiếm quyền tài khoản, gián đoạn truy cập dịch vụ và phát sinh sự cố điều tra/khắc phục trên máy trạm người dùng và hệ thống hỗ trợ.
Các nhà nghiên cứu an ninh đã phát hiện một chiến dịch malware ngân hàng mới có tên KREMLIN, được cho là hoạt động từ ít nhất tháng 5/2025 và nhắm vào người dùng Google Chrome và Microsoft Edge tại Brazil. Mã độc này phát tán qua các mồi nhử giả mạo tài liệu ngân hàng, hóa đơn hoặc tài liệu doanh nghiệp, sau đó cài tiện ích mở rộng độc hại để thu thập mật khẩu, session token, cookie và dữ liệu trình duyệt khác.
Chuỗi tấn công sử dụng JavaScript loader nhiều giai đoạn, DLL sideloading bằng một tệp hợp pháp liên quan đến SentinelOne, và Ethereum smart contract để tra cứu động hạ tầng C2. Cách tiếp cận này giúp thay đổi điểm điều khiển và nơi lưu trữ payload, khiến việc chặn hạ tầng trở nên khó hơn.
Sau khi cài đặt, tiện ích mở rộng có thể truy xuất tab, cookie, storage, lịch sử duyệt web và nội dung trang, rồi gửi về máy chủ điều khiển. Nhóm vận hành cũng áp dụng các kiểm tra sandbox/VM để né phân tích.
Khuyến nghị: chặn loader ban đầu, ngăn cài tiện ích mở rộng trái phép, giám sát các thay đổi bất thường trong Secure Preferences, và kiểm tra lưu lượng tới các miền/hạ tầng liên quan. Tổ chức nên tăng cường phát hiện hành vi browser extension abuse trên máy trạm người dùng.