Una nueva amenaza para el navegador llamada KREMLIN está atacando a usuarios de Chrome y Edge

Investigadores de seguridad han identificado una campaña de malware llamada KREMLIN que secuestra Google Chrome y Microsoft Edge para robar credenciales de inicio de sesión y tokens de sesión activos. Según los informes, la campaña ha sido rastreada bajo la designación REF9334 por Elastic Security Labs y parece haber estado activa desde al menos mayo de 2025, atacando principalmente a usuarios de servicios bancarios brasileños. Aunque el enfoque actual parece regional, las técnicas empleadas (instalar extensiones maliciosas del navegador y eludir las protecciones integradas del navegador) son un recordatorio de que cualquier navegador basado en Chromium puede ser objetivo de este tipo de ataque.

Lo que hace notable a KREMLIN no es solo que roba contraseñas. Según los informes, también va tras los tokens de sesión y las cookies, lo que significa que los atacantes podrían ni siquiera necesitar tu contraseña para acceder a una cuenta ya iniciada.

Cómo funciona el robo de credenciales y tokens de sesión

La mayoría de la gente piensa en el robo de credenciales como un hacker adivinando o pescando una contraseña mediante phishing. El robo de tokens de sesión es diferente y, posiblemente, más peligroso, porque ataca los datos que tu navegador utiliza para demostrar que ya estás autenticado. Cuando inicias sesión en un sitio bancario, una cuenta de correo electrónico o un portal de trabajo, tu navegador almacena un token de sesión o una cookie que le dice al sitio "este usuario ya está verificado, déjalo entrar sin pedirle la contraseña de nuevo". Si el malware puede robar ese token, un atacante puede potencialmente suplantar tu sesión activa sin conocer nunca tus datos reales de inicio de sesión y, en algunos casos, sin activar las solicitudes de autenticación multifactor.

Los informes sobre la campaña KREMLIN describen que utiliza extensiones maliciosas del navegador para obtener este tipo de acceso, supuestamente eludiendo las comprobaciones de integridad integradas de Chromium que se supone que impiden que se instalen silenciosamente extensiones no autorizadas o que se manipulen los datos del navegador. Esto es coherente con un patrón más amplio observado en otros incidentes recientes. Se utilizaron tácticas similares en una campaña cubierta aquí en vpn.social, donde se descubrió que extensiones maliciosas de Chrome robaban datos de criptomonedas al incrustarse silenciosamente en el navegador y recolectar información confidencial de cuentas. Las extensiones siguen siendo una superficie de ataque atractiva porque a menudo solicitan permisos amplios y se ejecutan con un acceso significativo a lo que ocurre dentro de las pestañas de tu navegador.

Por qué los navegadores se han convertido en un objetivo favorito

Los navegadores ya no son solo una ventana a internet. Son el lugar donde las personas inician sesión en aplicaciones bancarias, gestionan carteras de criptomonedas, manejan el correo del trabajo y almacenan contraseñas en gestores integrados. Eso los convierte en un punto único eficiente de compromiso para los atacantes, en lugar de tener que atacar docenas de aplicaciones separadas.

Este cambio se está manifestando en múltiples familias de malware, no solo en KREMLIN. Los operadores de ransomware también han empezado a tratar el propio navegador como infraestructura. Un ejemplo cubierto anteriormente involucraba la herramienta msaRAT del ransomware Chaos ocultando el tráfico de comando y control dentro del propio navegador de la víctima, disfrazando la actividad de red maliciosa como comportamiento normal de navegación para evitar la detección. Ya sea que el objetivo sea el despliegue de ransomware o el simple robo de credenciales, los atacantes ven cada vez más valor en vivir dentro del navegador en lugar de a su alrededor.

Mantener los navegadores actualizados sigue siendo una de las defensas más básicas y eficaces contra esta categoría de amenaza. Google, por ejemplo, publica regularmente parches de seguridad para fallos explotados activamente, incluida una corrección detallada en nuestra cobertura de Chrome 153 parcheando su séptimo zero-day del año. Vulnerabilidades como estas a veces pueden encadenarse con extensiones o scripts maliciosos para obtener un acceso más profundo a un sistema, por lo que mantenerse al día con las actualizaciones cierra una de las vías en las que confían los atacantes.

Qué significa esto para ti

Si usas Chrome o Edge, y especialmente si haces banca en línea o gestionas criptomonedas a través de tu navegador, vale la pena tomar algunas precauciones incluso si no estás en la región específica que KREMLIN está atacando actualmente. Las campañas de malware como esta tienden a ampliar su alcance con el tiempo una vez que las técnicas subyacentes demuestran ser eficaces.

Una VPN no impedirá que una extensión maliciosa del navegador robe un token de sesión que ya está en tu dispositivo, pero sí añade una capa de protección al cifrar tu tráfico y dificultar que los atacantes en redes compartidas o no confiables intercepten datos en tránsito. Combinada con una buena higiene del navegador, esa capa adicional reduce significativamente tu exposición general.

Conclusiones prácticas

  • Revisa regularmente tus extensiones instaladas de Chrome y Edge y elimina cualquier cosa que no uses activamente o que no reconozcas.
  • Instala extensiones solo desde tiendas web oficiales y revisa los permisos solicitados antes de instalarlas.
  • Mantén tu navegador actualizado a la última versión para recibir los parches de seguridad tan pronto como se publiquen.
  • Usa un gestor de contraseñas de confianza en lugar de depender únicamente de las credenciales guardadas en el navegador.
  • Cierra la sesión de las cuentas sensibles (especialmente las bancarias) cuando termines, en lugar de dejar las sesiones abiertas indefinidamente.
  • Considera usar una VPN como capa adicional de protección para tu tráfico de red, especialmente en conexiones públicas o compartidas.

La campaña de malware KREMLIN es una señal clara de que las amenazas basadas en el navegador están evolucionando más allá del simple phishing. Mantenerse vigilante sobre lo que instalas y mantener tu software actualizado sigue siendo la defensa más práctica disponible para los usuarios cotidianos en este momento.