El malware bancario «KREMLIN» secuestra Chrome y Edge para robar credenciales y tokens de sesión

Investigadores de ciberseguridad han analizado una operación de troyano bancario originaria de Brasil que utiliza un conjunto de herramientas llamado KREMLIN. Este grupo de actores maliciosos emplea ganchos que simulan pertenecer a diversas entidades bancarias brasileñas para lograr que las víctimas ejecuten archivos iniciales, los cuales activan un mecanismo de carga por etapas que verifica la ausencia de entornos virtuales o de pruebas antes de continuar.

El ecosistema de este programa malicioso se apoya en contratos inteligentes de Ethereum para ocultar su infraestructura y actualizar de forma dinámica los servidores de comando y control. Asimismo, hace uso de un archivo ejecutable legítimo vinculado a SentinelOne para realizar una carga lateral de una biblioteca de vínculos dinámicos no firmada, y evade los controles de seguridad en navegadores basados en Chromium mediante la manipulación de preferencias seguras y metadatos cifrados para instalar una extensión maliciosa.

Una vez instalada en el navegador, esta extensión recopila de forma activa datos de las sesiones de los usuarios, credenciales, tokens y otra información confidencial mediante canales de comunicación y solicitudes periódicas. Las víctimas identificadas se ubican mayoritariamente en Brasil, y los expertos señalan que este tipo de operaciones busca comprometer la seguridad de los equipos afectados para la extracción de información financiera y de navegación.