El malware elude los controles del navegador para forzar la instalación de extensiones de Chrome y Edge

Una campaña de software malicioso enfocada en el sector bancario ha estado utilizando un conjunto de herramientas llamado KREMLIN para incorporar complementos maliciosos en los navegadores Chrome y Edge. Este mecanismo de infección arranca cuando el usuario abre un archivo de JavaScript que aparenta ser un documento comercial, una factura, un recibo bancario o un registro de pago, el cual supera revisiones contra entornos aislados y muestra un error falso mientras descarga Node.js, configura una tarea programada y obtiene la ubicación del código adicional desde un contrato inteligente de Ethereum.

La característica principal de esta amenaza consiste en su habilidad para integrar extensiones en los navegadores sin requerir autorización del usuario. Para lograrlo, el software espera a que el navegador se cierre o lo finaliza al detectar inactividad, tras lo cual traslada la extensión a los directorios del perfil, activa el modo de desarrollador e introduce el componente en las preferencias de seguridad de Chromium. Mediante el uso de claves de cifrado del propio navegador y la regeneración de las comprobaciones de integridad, la extensión maliciosa se presenta como legítima ante el sistema.

Una vez instalada bajo la apariencia de una herramienta llamada AVSync, el complemento se dedica a sustraer información confidencial como cookies, datos de almacenamiento local y de sesión, capturas de pantalla, historiales de navegación, textos introducidos mediante registro de pulsaciones, código fuente de páginas y solicitudes HTTP, además de inyectar contenido HTML y redirigir clics. Asimismo, el kit de herramientas actúa como un ladrón de información capaz de recolectar bases de datos y claves criptográficas, mientras que los operadores han empleado servicios externos para alojar cargas ocultas y han utilizado criptomonedas en sus transacciones.