Wprowadzenie do problemu
Kampania KREMLIN pokazuje, że nowoczesne przeglądarki oparte na Chromium mogą stać się celem znacznie bardziej zaawansowanych nadużyć niż typowe infekcje adware czy klasyczne stealer’y. W tym przypadku atakujący nie próbują przekonać ofiary do samodzielnej instalacji dodatku, lecz ingerują bezpośrednio w mechanizmy konfiguracyjne przeglądarki, aby złośliwe rozszerzenie zostało uznane za legalne.
To szczególnie istotne, ponieważ rozszerzenia przeglądarki mają szeroki dostęp do danych użytkownika, aktywnych sesji, treści stron i komunikacji HTTP. Jeśli taki komponent zostanie uruchomiony wewnątrz zaufanego procesu Chrome lub Microsoft Edge, może działać dyskretnie i bardzo skutecznie.
W skrócie
- KREMLIN to malware powiązany z kampaniami wymierzonymi głównie w użytkowników w Brazylii.
- Infekcja rozpoczyna się od złośliwego pliku JavaScript podszywającego się pod dokument biznesowy lub finansowy.
- Malware pobiera kolejne komponenty, ustanawia trwałość i wykorzystuje nietypowe kanały pobierania konfiguracji.
- Najważniejszym elementem ataku jest cicha instalacja złośliwego rozszerzenia w Chrome i Edge przez manipulację katalogiem profilu oraz plikiem Secure Preferences.
- Rozszerzenie może kraść cookies, tokeny sesyjne, dane formularzy, treść stron i przechwytywać ruch przeglądarkowy.
Kontekst i historia
Badacze śledzili opisywaną operację przez wiele miesięcy, obserwując kampanie ukierunkowane przede wszystkim na Brazylię. W przynętach dominowały motywy finansowe, takie jak potwierdzenia płatności, dokumenty biznesowe czy fałszywe komunikaty związane z bankowością.
Analiza wskazuje, że operatorzy nie ograniczali się do prostego wykradania danych logowania. W części przypadków wykorzystywali również mechanizmy pozwalające utrzymać dłuższą kontrolę nad systemem ofiary. Na uwagę zasługuje także użycie infrastruktury opartej na modelu dead-drop resolver z wykorzystaniem blockchaina Ethereum do dystrybucji konfiguracji lub kolejnych etapów działania.
Analiza techniczna
Najbardziej interesującą częścią kampanii jest sposób instalacji rozszerzenia. Malware czeka na zamknięcie przeglądarki albo sam kończy jej proces w odpowiednim momencie, po czym kopiuje własne pliki bezpośrednio do katalogu profilu użytkownika. Następnie modyfikuje ustawienia odpowiedzialne za rejestrację dodatku i aktywuje tryb deweloperski.
W normalnych warunkach samo dopisanie wpisów do pliku Secure Preferences nie powinno wystarczyć. Chromium stosuje bowiem mechanizmy integralności chroniące krytyczne ustawienia za pomocą wartości kontrolnych i podpisów opartych na HMAC oraz innych hashach. KREMLIN odtwarza jednak wymagane dane w taki sposób, aby przeglądarka uznała zmanipulowaną konfigurację za prawidłową.
To oznacza skuteczne obejście jednego z kluczowych modeli zaufania w przeglądarkach Chromium. Z punktu widzenia użytkownika złośliwy dodatek może wyglądać jak legalnie zainstalowane rozszerzenie, mimo że nigdy nie został pobrany z oficjalnego kanału ani ręcznie zaakceptowany.
Według analizy technicznej rozszerzenie ukrywające się pod nazwą AVSync może wykonywać szeroki zestaw działań:
- kraść cookies, local storage i session storage,
- przechwytywać dane wpisywane do formularzy, w tym hasła,
- pobierać kod źródłowy odwiedzanych stron i wykonywać zrzuty ekranu,
- enumerować otwarte karty oraz historię przeglądania,
- przechwytywać nagłówki i treści żądań HTTP,
- wstrzykiwać kontrolowany kod HTML,
- przekierowywać działania użytkownika,
- odbierać polecenia przez kanał WebSocket.
Dodatkowo sam toolkit pełni funkcję infostealera. Oprócz pracy na poziomie rozszerzenia archiwizuje i eksfiltruje dane z baz przeglądarki, listy dodatków, cookies oraz materiał kryptograficzny potrzebny do odszyfrowywania chronionych informacji.
Konsekwencje i ryzyko
Ryzyko związane z KREMLIN jest wysokie, ponieważ atak nie koncentruje się wyłącznie na kradzieży haseł. Znacznie cenniejsze może być przejęcie aktywnej, już uwierzytelnionej sesji użytkownika. W praktyce pozwala to obchodzić część zabezpieczeń, w tym mechanizmy MFA, jeśli atakujący zdobędzie ważne tokeny sesyjne.
Szczególnie narażone są środowiska, w których przeglądarka jest głównym interfejsem do systemów biznesowych, bankowości elektronicznej, usług SaaS, paneli administracyjnych czy narzędzi chmurowych. Działanie z wnętrza procesu przeglądarki utrudnia też wykrycie anomalii, ponieważ wiele operacji wygląda jak normalna aktywność użytkownika.
- Możliwe jest przejęcie sesji bankowych i biznesowych.
- Atakujący mogą manipulować treścią wyświetlanych stron.
- Kompromitacja przeglądarki może otworzyć drogę do dalszego ruchu bocznego.
- Analiza incydentu jest trudniejsza, ponieważ komponent działa wewnątrz zaufanego środowiska użytkownika.
Rekomendacje
Organizacje powinny rozszerzyć monitoring bezpieczeństwa o artefakty związane z profilami przeglądarek, a nie ograniczać się wyłącznie do procesów i połączeń sieciowych. Rozszerzenia Chromium należy traktować jako pełnoprawną powierzchnię ataku.
- Monitorować modyfikacje plików Preferences i Secure Preferences w profilach Chrome oraz Edge.
- Wykrywać nietypowe uruchomienia Node.js, skryptów JavaScript i zadań harmonogramu z katalogów użytkownika.
- Kontrolować aktywację trybu deweloperskiego oraz pojawianie się nieautoryzowanych rozszerzeń.
- Ograniczać uruchamianie skryptów z załączników pocztowych i archiwów pobranych z Internetu.
- Stosować polityki allowlistingu aplikacji i rozszerzeń.
- Analizować ruch WebSocket i nietypowe kanały komunikacji używane do sterowania malware.
- Regularnie przeglądać artefakty związane z cookies, tokenami i danymi sesyjnymi.
- Aktualizować reguły EDR i SIEM o detekcje ręcznego ładowania rozszerzeń Chromium.
Jeśli dojdzie do incydentu, sama zmiana hasła może nie wystarczyć. Należy założyć możliwość pełnej kompromitacji sesji przeglądarkowych, unieważnić aktywne sesje, zresetować tokeny, przeanalizować historię logowań i zweryfikować zaufane urządzenia.
Podsumowanie
KREMLIN to przykład dojrzałej operacji łączącej socjotechnikę, trwałość w systemie, funkcje infostealera oraz zaawansowane obejście zabezpieczeń Chromium. Najważniejsza lekcja dla obrońców jest jasna: przeglądarka i jej rozszerzenia nie są jedynie narzędziem produktywności, ale jednym z kluczowych obszarów ryzyka w nowoczesnym środowisku pracy.
Jeżeli atakujący potrafi sprawić, że złośliwe rozszerzenie zostanie uznane za legalny element konfiguracji, skutki mogą obejmować przejęcie tożsamości użytkownika, dostęp do danych biznesowych i długotrwałe utrzymanie kontroli nad sesjami bez potrzeby wykorzystywania klasycznej luki w przeglądarce.
Źródła
- BleepingComputer – Malware bypasses browser checks to force install Chrome, Edge extensions — https://www.bleepingcomputer.com/news/security/malware-bypasses-browser-checks-to-force-install-chrome-edge-extensions/
- Elastic Security Labs – The extension you never installed: KREMLIN forges Chrome’s own integrity checks to steal banking sessions — https://www.elastic.co/security-labs/threat-command/malicious-browser-extension-kremlin-banking-malware
- Synacktiv – The Phantom Extension: Backdooring chrome through uncharted pathways — https://www.synacktiv.com/en/publications/the-phantom-extension-backdooring-chrome-through-uncharted-pathways