Eine neue Browser-Bedrohung namens KREMLIN zielt auf Chrome- und Edge-Nutzer ab

Sicherheitsforscher haben eine Malware-Kampagne namens KREMLIN identifiziert, die Google Chrome und Microsoft Edge kapert, um Anmeldedaten und aktive Sitzungstoken zu stehlen. Berichten zufolge wird die Kampagne von Elastic Security Labs unter der Bezeichnung REF9334 verfolgt und scheint mindestens seit Mai 2025 aktiv zu sein, wobei sie in erster Linie auf Nutzer brasilianischer Bankdienste abzielt. Während der aktuelle Fokus regional zu sein scheint, sind die eingesetzten Techniken (die Installation bösartiger Browser-Erweiterungen und die Umgehung der integrierten Browserschutzmechanismen) eine Erinnerung daran, dass jeder Chromium-basierte Browser ein Ziel für diese Art von Angriff sein kann.

Was KREMLIN bemerkenswert macht, ist nicht nur, dass es Passwörter stiehlt. Berichten zufolge hat es auch Sitzungstoken und Cookies im Visier, was bedeutet, dass Angreifer möglicherweise nicht einmal das Passwort benötigen, um auf ein bereits angemeldetes Konto zuzugreifen.

Wie der Diebstahl von Anmeldedaten und Sitzungstoken funktioniert

Die meisten Menschen stellen sich unter Diebstahl von Anmeldedaten vor, dass ein Hacker ein Passwort errät oder per Phishing erbeutet. Der Diebstahl von Sitzungstoken funktioniert anders und ist wohl gefährlicher, da er auf die Daten abzielt, die Ihr Browser verwendet, um nachzuweisen, dass Sie bereits authentifiziert sind. Wenn Sie sich bei einer Bank-Website, einem E-Mail-Konto oder einem Arbeitsportal anmelden, speichert Ihr Browser ein Sitzungstoken oder Cookie, das der Website mitteilt: „Dieser Nutzer ist bereits verifiziert, lassen Sie ihn herein, ohne erneut nach einem Passwort zu fragen." Wenn Malware dieses Token stehlen kann, kann ein Angreifer möglicherweise Ihre aktive Sitzung imitieren, ohne jemals Ihre tatsächlichen Anmeldedaten zu kennen, und in manchen Fällen ohne Multi-Faktor-Authentifizierungsaufforderungen auszulösen.

Berichte über die KREMLIN-Kampagne beschreiben, dass sie bösartige Browser-Erweiterungen nutzt, um diese Art von Zugriff zu erlangen, und dabei Berichten zufolge die integrierten Integritätsprüfungen von Chromium umgeht, die eigentlich verhindern sollen, dass nicht autorisierte Erweiterungen still und heimlich installiert oder Browserdaten manipuliert werden. Dies entspricht einem breiteren Muster, das in anderen jüngsten Vorfällen zu beobachten war. Ähnliche Taktiken wurden in einer Kampagne verwendet, über die hier bei vpn.social berichtet wurde, bei der bösartige Chrome-Erweiterungen dabei erwischt wurden, Krypto-Daten zu stehlen, indem sie sich still in den Browser einnisteten und sensible Kontoinformationen sammelten. Erweiterungen bleiben eine attraktive Angriffsfläche, da sie oft weitreichende Berechtigungen anfordern und mit erheblichem Zugriff auf das ausgeführt werden, was in Ihren Browser-Tabs geschieht.

Warum Browser zu einem beliebten Ziel geworden sind

Browser sind längst nicht mehr nur ein Fenster zum Internet. Sie sind der Ort, an dem Menschen sich bei Banking-Apps anmelden, Krypto-Wallets verwalten, Arbeits-E-Mails bearbeiten und Passwörter in integrierten Passwortmanagern speichern. Das macht sie zu einem effizienten einzelnen Kompromittierungspunkt für Angreifer, anstatt dutzende separate Anwendungen angreifen zu müssen.

Diese Verschiebung zeigt sich bei mehreren Malware-Familien, nicht nur bei KREMLIN. Auch Ransomware-Betreiber haben begonnen, den Browser selbst als Infrastruktur zu behandeln. Ein zuvor behandeltes Beispiel betraf das msaRAT-Tool von Chaos-Ransomware, das Command-and-Control-Datenverkehr im Browser des Opfers versteckt, indem es bösartige Netzwerkaktivität als normales Surfverhalten tarnt, um der Entdeckung zu entgehen. Ob das Ziel die Bereitstellung von Ransomware oder der reine Diebstahl von Anmeldedaten ist – Angreifer sehen zunehmend den Wert darin, im Browser statt um ihn herum zu leben.

Browser aktuell zu halten, bleibt eine der grundlegendsten und wirksamsten Verteidigungen gegen diese Art von Bedrohung. Google beispielsweise liefert regelmäßig Sicherheitspatches für aktiv ausgenutzte Schwachstellen aus, einschließlich eines Fixes, das in unserer Berichterstattung über Chrome 153, das seinen siebten Zero-Day des Jahres patcht, beschrieben wird. Schwachstellen wie diese können manchmal mit bösartigen Erweiterungen oder Skripten verkettet werden, um tieferen Zugriff auf ein System zu erlangen, sodass aktuell zu bleiben einen Weg verschließt, auf den Angreifer angewiesen sind.

Was das für Sie bedeutet

Wenn Sie Chrome oder Edge verwenden und insbesondere wenn Sie Online-Banking betreiben oder Kryptowährungen über Ihren Browser verwalten, lohnt es sich, einige Vorsichtsmaßnahmen zu ergreifen, auch wenn Sie sich nicht in der spezifischen Region befinden, die derzeit von KREMLIN ins Visier genommen wird. Malware-Kampagnen wie diese neigen dazu, ihren Umfang im Laufe der Zeit zu erweitern, sobald sich die zugrundeliegenden Techniken als wirksam erwiesen haben.

Ein VPN wird nicht verhindern, dass eine bösartige Browser-Erweiterung ein Sitzungstoken stiehlt, das sich bereits auf Ihrem Gerät befindet, aber es fügt eine Schutzschicht hinzu, indem es Ihren Datenverkehr verschlüsselt und es Angreifern in gemeinsam genutzten oder nicht vertrauenswürdigen Netzwerken erschwert, Daten während der Übertragung abzufangen. In Kombination mit guter Browser-Hygiene reduziert diese zusätzliche Schicht Ihre Gesamtexposition erheblich.

Praktische Erkenntnisse

  • Überprüfen Sie Ihre installierten Chrome- und Edge-Erweiterungen regelmäßig und entfernen Sie alles, was Sie nicht aktiv nutzen oder nicht erkennen.
  • Installieren Sie Erweiterungen nur aus offiziellen Web-Stores und prüfen Sie die angeforderten Berechtigungen vor der Installation.
  • Halten Sie Ihren Browser auf dem neuesten Stand, um Sicherheitspatches zu erhalten, sobald sie veröffentlicht werden.
  • Verwenden Sie einen seriösen Passwortmanager, anstatt sich ausschließlich auf im Browser gespeicherte Anmeldedaten zu verlassen.
  • Melden Sie sich von sensiblen Konten (insbesondere Bankkonten) ab, wenn Sie fertig sind, anstatt Sitzungen unbegrenzt offen zu lassen.
  • Erwägen Sie die Nutzung eines VPN als zusätzliche Schutzschicht für Ihren Netzwerkverkehr, insbesondere bei öffentlichen oder gemeinsam genutzten Verbindungen.

Die KREMLIN-Malware-Kampagne ist ein klares Signal dafür, dass sich browserbasierte Bedrohungen über einfaches Phishing hinaus weiterentwickeln. Wachsam zu bleiben bezüglich dessen, was Sie installieren, und Ihre Software aktuell zu halten, bleibt derzeit die praktischste Verteidigung, die Alltagsnutzern zur Verfügung steht.