I ricercatori degli Elastic Security Labs hanno individuato un nuovo malware per Windows, denominato KREMLIN, che installa estensioni infette per Chrome e Edge. Lo scopo dei cybercriminali è rubare numerosi dati sensibili memorizzati nei due browser. Gli attacchi sono stati effettuati solo contro utenti brasiliani. L’infrastruttura è stata smantellata evitando l’eventuale espansione in altri paesi.
Descrizione di KREMLIN
La catena di infezione inizia quando l’ignara vittima apre un documento (ricevuta di pagamento, fattura o altro). Viene così eseguito un loader JavaScript che, dopo aver verificato la presenza di una sandbox o una macchina virtuale, mostra un errore di apertura mentre installa di nascosto Node.js, effettua il collegamento al server C2 (command and control), stabilisce la persistenza con un’attività pianificata e scarica moduli aggiuntivi.
La funzionalità principale di KREMLIN è installare estensioni infette per Chrome e Edge senza chiedere l’autorizzazione all’utente. Dopo aver atteso la chiusura o l’inattività per due minuti del browser, il malware copia l’estensione nelle directory del profilo, attiva la modalità sviluppatore e aggiunge l’estensione alle impostazioni di sicurezza.
Le estensioni sembrano legittime (sono indicate come AVSync), ma eseguono una serie di azioni pericolose. Rubano cookie e storage di sessione, catturano screenshot o fonte della pagina, leggono il testo inserito (password incluse), accedono alle schede aperte e alla cronologia di navigazione, intercettano le richieste HTTP, iniettano codice HTTP nelle pagine e portano l’utente su siti controllati dai cybercriminali (redirecting).
KREMLIN sfrutta gli smart contract di Ethereum come dead-drop resolver. In pratica, gli indirizzi IP dei server gestiti dai cybercriminali e dei payload sono nascosti nella blockchain in forma cifrata. I ricercatori degli Elastic Security Labs hanno scoperto il wallet Ethereum che rilasciava e aggiornava gli smart contract. Hanno quindi registrato un dominio “kill switch” e interrotto il funzionamento del malware.
Ti potrebbe interessare
18 set 2026