El malware bancario «KREMLIN» secuestra Chrome y Edge para robar credenciales y tokens de sesión

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han ana­li­za­do una ope­ra­ción de tro­yano ban­ca­rio ori­gi­na­ria de Bra­sil que uti­li­za un con­jun­to de he­rra­mien­tas lla­ma­do KREMLIN. Este grupo de ac­to­res ma­li­cio­sos em­plea gan­chos que si­mu­lan per­te­ne­cer a di­ver­sas en­ti­da­des ban­ca­rias bra­si­le­ñas para lo­grar que las víc­ti­mas eje­cu­ten ar­chi­vos ini­cia­les, los cua­les ac­ti­van un me­ca­nis­mo de carga por eta­pas que ve­ri­fi­ca la au­sen­cia de en­tor­nos vir­tua­les o de prue­bas antes de con­ti­nuar.

El eco­sis­te­ma de este pro­gra­ma ma­li­cio­so se apoya en con­tra­tos in­te­li­gen­tes de Ethe­reum para ocul­tar su in­fra­es­truc­tu­ra y ac­tua­li­zar de forma di­ná­mi­ca los ser­vi­do­res de co­man­do y con­trol. Asi­mis­mo, hace uso de un ar­chi­vo eje­cu­ta­ble le­gí­ti­mo vin­cu­la­do a Sen­ti­ne­lO­ne para rea­li­zar una carga la­te­ral de una bi­blio­te­ca de víncu­los di­ná­mi­cos no fir­ma­da, y evade los con­tro­les de se­gu­ri­dad en na­ve­ga­do­res ba­sa­dos en Chro­mium me­dian­te la ma­ni­pu­la­ción de pre­fe­ren­cias se­gu­ras y me­ta­da­tos ci­fra­dos para ins­ta­lar una ex­ten­sión ma­li­cio­sa.

Una vez ins­ta­la­da en el na­ve­ga­dor, esta ex­ten­sión re­co­pi­la de forma ac­ti­va datos de las se­sio­nes de los usua­rios, cre­den­cia­les, to­kens y otra in­for­ma­ción con­fi­den­cial me­dian­te ca­na­les de co­mu­ni­ca­ción y so­li­ci­tu­des pe­rió­di­cas. Las víc­ti­mas iden­ti­fi­ca­das se ubi­can ma­yo­ri­ta­ria­men­te en Bra­sil, y los ex­per­tos se­ña­lan que este tipo de ope­ra­cio­nes busca com­pro­me­ter la se­gu­ri­dad de los equi­pos afec­ta­dos para la ex­trac­ción de in­for­ma­ción fi­nan­cie­ra y de na­ve­ga­ción.