El malware elude los controles del navegador para forzar la instalación de extensiones de Chrome y Edge

Una cam­pa­ña de soft­wa­re ma­li­cio­so en­fo­ca­da en el sec­tor ban­ca­rio ha es­ta­do uti­li­zan­do un con­jun­to de he­rra­mien­tas lla­ma­do KREMLIN para in­cor­po­rar com­ple­men­tos ma­li­cio­sos en los na­ve­ga­do­res Chro­me y Edge. Este me­ca­nis­mo de in­fec­ción arran­ca cuan­do el usua­rio abre un ar­chi­vo de Ja­vaS­cript que apa­ren­ta ser un do­cu­men­to co­mer­cial, una fac­tu­ra, un re­ci­bo ban­ca­rio o un re­gis­tro de pago, el cual su­pera re­vi­sio­nes con­tra en­tor­nos ais­la­dos y mues­tra un error falso mien­tras des­car­ga Node.js, con­fi­gu­ra una tarea pro­gra­ma­da y ob­tie­ne la ubi­ca­ción del có­di­go adi­cio­nal desde un con­tra­to in­te­li­gen­te de Ethe­reum.

La ca­rac­te­rís­ti­ca prin­ci­pal de esta ame­na­za con­sis­te en su ha­bi­li­dad para in­te­grar ex­ten­sio­nes en los na­ve­ga­do­res sin re­que­rir au­to­ri­za­ción del usua­rio. Para lo­grar­lo, el soft­wa­re es­pe­ra a que el na­ve­ga­dor se cie­rre o lo fi­na­li­za al de­tec­tar inac­ti­vi­dad, tras lo cual tras­la­da la ex­ten­sión a los di­rec­to­rios del per­fil, ac­ti­va el modo de de­sa­rro­lla­dor e in­tro­du­ce el com­po­nen­te en las pre­fe­ren­cias de se­gu­ri­dad de Chro­mium. Me­dian­te el uso de cla­ves de ci­fra­do del pro­pio na­ve­ga­dor y la re­ge­ne­ra­ción de las com­pro­ba­cio­nes de in­te­gri­dad, la ex­ten­sión ma­li­cio­sa se pre­sen­ta como le­gí­ti­ma ante el sis­te­ma.

Una vez ins­ta­la­da bajo la apa­rien­cia de una he­rra­mien­ta lla­ma­da AVSync, el com­ple­men­to se de­di­ca a sus­traer in­for­ma­ción con­fi­den­cial como coo­kies, datos de al­ma­ce­na­mien­to local y de se­sión, cap­tu­ras de pan­ta­lla, his­to­ria­les de na­ve­ga­ción, tex­tos in­tro­du­ci­dos me­dian­te re­gis­tro de pul­sa­cio­nes, có­di­go fuen­te de pá­gi­nas y so­li­ci­tu­des HTTP, ade­más de in­yec­tar con­te­ni­do HTML y re­di­ri­gir clics. Asi­mis­mo, el kit de he­rra­mien­tas actúa como un la­drón de in­for­ma­ción capaz de re­co­lec­tar bases de datos y cla­ves crip­to­grá­fi­cas, mien­tras que los ope­ra­do­res han em­plea­do ser­vi­cios ex­ter­nos para alo­jar car­gas ocul­tas y han uti­li­za­do crip­to­mo­ne­das en sus tran­sac­cio­nes.