Un cheval de Troie bancaire actif depuis mi-2025 a trouvé un moyen d'installer des extensions malveillantes dans Chrome et Edge sans que nous approuvions quoi que ce soit en tant qu'utilisateurs. La boîte à outils, baptisé KREMLINcontourne les mécanismes d'intégrité de Chromium et oblige le navigateur à traiter le plugin comme si nous l'avions accepté nous-mêmes. Les chercheurs d'Elastic Security Labs ont détecté la technique et ont déjà réussi à arrêter la campagne la plus récente.
Malgré son nom, l'opération n'a rien à voir avec la Russie : elle est liée à un groupe brésilien qui a lancé au moins sept campagnes depuis mai 2025, toutes se faisant passer pour douze banques différentes. L'attaque démarre lorsque la victime ouvre un fichier JavaScript déguisé en reçu bancaire, facture ou document commercial. Après avoir passé les contrôles anti-sandbox, le fichier affiche une fausse erreur lors du téléchargement de Node.js en arrière-plan, de l'installation d'une tâche planifiée pour rester actif et de l'obtention de l'emplacement de la prochaine charge utile à partir d'un contrat intelligent Ethereum.
Comment KREMLIN parvient à installer des extensions sans autorisation
Pour réaliser une installation silencieuse, le malware attend que nous fermions le navigateur ou, s'il détecte une inactivité, il y met fin directement. À ce stade, copiez l'extension dans les répertoires de profil Chrome ou Edge, activez le mode développeur et ajoutez-la au fichier. Préférences sécuriséesqui utilise Chromium pour enregistrer les plugins autorisés.
Le truc, c'est ce qui vient ensuite. Chromium protège ces entrées avec des contrôles d'intégrité cryptographique, le malware doit donc récupérer les clés de cryptage que le navigateur lui-même utilise pour protéger les données sensibles et régénérer les fichiers. HMAC et les hachages chiffrés associés. Comme l'expliquent les chercheurs d'Elastic, il s'agit d'une technique documentée mais rarement observée dans les logiciels malveillants : copier manuellement l'extension dans les répertoires de profil et l'enregistrer dans le fichier de préférences sécurisées. Le résultat est que le navigateur accepte le plugin comme légitime, même s'il n'a jamais été examiné ou approuvé par nous.
Ce que vole l'extension AVSync une fois installée
Le complément est prétend être AVSync et, à partir de là, il vide pratiquement tout ce qui se passe dans notre navigateur. Il vole les cookies, le stockage local et de session, enregistre chaque touche enfoncée sur les formulaires (y compris les mots de passe), capture les écrans et le code source des pages visitées et répertorie les onglets ouverts et l'historique de navigation.
Ses capacités vont au-delà de l’espionnage passif. AVSync intercepte les en-têtes et le corps des requêtes HTTP, injecte du HTML contrôlé par les attaquants dans les sites Web que nous visitons et redirige les clics vers des destinations choisies par le groupe lui-même, le tout régi par un Connexion WebSocket qui reçoit les commandes en temps réel. En plus de l'extension, la boîte à outils KREMLIN fonctionne comme un voleur d'informations capable d'archiver et de supprimer de l'ordinateur les bases de données du navigateur, les cookies, la liste des extensions installées et les Clés cryptographiques liées à l'application nécessaire pour décrypter les données protégées.
Comment Elastic a stoppé la campagne contre Chrome
Pour répartir la charge sans éveiller les soupçons, les opérateurs du KREMLIN utilisent les contrats intelligents Ethereum comme points de livraison aveugles et cachent une partie de leurs charges utiles dans des images JPEG hébergées sur Internet Archive. Lors des campagnes les plus récentes, ils ont remplacé l'outil d'accès à distance Pulsar RAT, qu'ils utilisaient lors d'opérations précédentes, par REMCOSprobablement parce qu'il offre plus de fonctionnalités.
L'analyse de l'infrastructure et du code a permis aux chercheurs d'identifier le portefeuille Ethereum qui a déployé et mis à jour les contrats intelligents utilisés par le groupe. Certains sont passés par ce portefeuille 20 800 USDT sur les transferts entrants et 19 000 USDT en aller.
Elastic a jusqu'à présent confirmé 1 515 systèmes infectéspresque tous au Brésil, en fonction du profil des victimes : des utilisateurs de services bancaires en ligne qui reçoivent les leurres dans leur langue et dirigés vers des entités locales.
Pour arrêter la campagne en cours, Elastic a enregistré un domaine que le malware a utilisé comme canari anti-sandbox. Cela a amené le chargeur à détecter les faux positifs et à arrêter le processus d'infection sur des ordinateurs qui autrement auraient répondu aux exigences de compromission. L'entreprise a partagé les tactiques, techniques et indicateurs de compromission associés à KREMLIN afin que d'autres équipes de sécurité puissent les détecter.
FAQ sur les logiciels malveillants KREMLIN Il copie l'extension dans les répertoires de profil du navigateur et l'enregistre dans le fichier de préférences sécurisées, régénérant ainsi les clés de cryptage et les hachages que Chromium utilise pour vérifier qu'un plugin est légitime.
Il vole les cookies et les données de session, enregistre les frappes au clavier, capture les écrans et le code source, énumère les onglets et l'historique et intercepte les requêtes HTTP pour injecter du contenu ou rediriger les clics.
L'infection commence par un fichier JavaScript déguisé en reçu ou en facture bancaire. Après avoir passé les contrôles anti-sandbox, il télécharge Node.js, persiste avec une tâche planifiée et obtient la charge utile suivante à partir d'un contrat intelligent Ethereum.
Elastic Security Labs a confirmé 1 515 systèmes infectés, la majorité au Brésil, pays où se concentre l'opération grâce à l'usurpation d'identité de douze banques différentes.
Comment le malware KREMLIN parvient-il à installer des extensions sans autorisation ?
Quelles informations l'extension KREMLIN AVSync vole-t-elle ?
Comment la boîte à outils KREMLIN est-elle diffusée ?
Combien d’ordinateurs le KREMLIN a-t-il infecté ?