Un nuovo malware per Windows ha attirato l’attenzione dei ricercatori di sicurezza: si chiama KREMLIN e punta a compromettere i browser più diffusi, in particolare Chrome ed Edge. L’obiettivo è sottrarre informazioni sensibili memorizzate nei profili degli utenti, sfruttando estensioni malevole che si presentano come componenti apparentemente legittimi.
Secondo quanto emerso dalle analisi degli Elastic Security Labs, la campagna ha preso di mira esclusivamente utenti brasiliani. Tuttavia, la minaccia avrebbe potuto estendersi anche ad altri paesi, se l’infrastruttura non fosse stata individuata e disattivata in tempo.
KREMLIN e il rischio per Windows
La catena d’infezione inizia spesso in modo semplice: la vittima apre un documento che sembra plausibile, come una ricevuta di pagamento o una fattura. A quel punto entra in azione un loader JavaScript che verifica se si trova in un ambiente di analisi, ad esempio una sandbox o una macchina virtuale, per poi mostrare un falso errore di apertura mentre prosegue in segreto con le attività malevole.
Durante questa fase, il malware installa Node.js, si collega a un server di comando e controllo, crea una persistenza tramite attività pianificate e scarica ulteriori moduli. La strategia è pensata per restare nascosta il più possibile e per mantenere il controllo del sistema anche dopo il riavvio del computer.
Come agiscono le estensioni infette
Il vero punto di forza di KREMLIN è la capacità di installare estensioni infette in Chrome ed Edge senza chiedere il consenso dell’utente. Dopo aver atteso che il browser venga chiuso o rimanga inattivo per due minuti, il malware copia l’estensione nelle directory del profilo, attiva la modalità sviluppatore e la aggiunge alle impostazioni di sicurezza.
Le estensioni, che appaiono con il nome AVSync, si comportano in realtà come strumenti di spionaggio. Possono rubare cookie e dati di sessione, catturare screenshot, leggere il testo digitato dall’utente, comprese eventuali password, accedere alle schede aperte e alla cronologia, intercettare richieste HTTP e persino iniettare codice nelle pagine visitate. In alcuni casi reindirizzano la navigazione verso siti controllati dai criminali.
Blockchain e smantellamento dell’infrastruttura
Un aspetto particolarmente insolito di KREMLIN è l’uso degli smart contract di Ethereum come meccanismo di distribuzione nascosto, noto come dead-drop resolver. In pratica, gli indirizzi IP dei server e i payload vengono memorizzati nella blockchain in forma cifrata, rendendo più difficile il rilevamento dell’infrastruttura da parte degli analisti.
Gli Elastic Security Labs sono riusciti a risalire al wallet Ethereum che pubblicava e aggiornata gli smart contract, arrivando così a registrare un dominio “kill switch” per interrompere il funzionamento del malware. L’operazione ha di fatto smantellato la rete di comando e controllo, evitando che la campagna potesse espandersi oltre il Brasile. Il caso conferma quanto sia importante mantenere alta l’attenzione anche quando una minaccia sembra limitata a un’area geografica circoscritta.