Ancaman Browser Baru Bernama KREMLIN Menargetkan Pengguna Chrome dan Edge

Peneliti keamanan telah mengidentifikasi kampanye malware bernama KREMLIN yang membajak Google Chrome dan Microsoft Edge untuk mencuri kredensial login dan token sesi aktif. Menurut laporan, kampanye ini telah dilacak dengan designasi REF9334 oleh Elastic Security Labs dan tampaknya telah aktif setidaknya sejak Mei 2025, terutama menargetkan pengguna layanan perbankan Brasil. Meskipun fokus saat ini tampak regional, teknik yang digunakan (memasang ekstensi browser palsu dan melewati perlindungan bawaan browser) menjadi pengingat bahwa browser berbasis Chromium apa pun dapat menjadi target untuk gaya serangan ini.

Yang membuat KREMLIN patut diperhatikan bukan hanya karena mencuri kata sandi. Dilaporkan bahwa malware ini juga menyasar token sesi dan cookie, yang berarti penyerang mungkin bahkan tidak memerlukan kata sandi Anda untuk mengakses akun yang sudah dalam keadaan login.

Cara Kerja Pencurian Kredensial dan Token Sesi

Sebagian besar orang menganggap pencurian kredensial sebagai peretas menebak atau melakukan phishing terhadap kata sandi. Pencurian token sesi berbeda, dan bisa dibilang lebih berbahaya, karena menyasar data yang digunakan browser Anda untuk membuktikan bahwa Anda sudah terautentikasi. Ketika Anda login ke situs perbankan, akun email, atau portal kerja, browser Anda menyimpan token sesi atau cookie yang memberi tahu situs tersebut "pengguna ini sudah terverifikasi, izinkan mereka masuk tanpa meminta kata sandi lagi." Jika malware dapat mencuri token tersebut, penyerang berpotensi menyamar sebagai sesi aktif Anda tanpa pernah mengetahui detail login Anda yang sebenarnya, dan dalam beberapa kasus tanpa memicu prompt autentikasi multi-faktor.

Laporan tentang kampanye KREMLIN menggambarkannya menggunakan ekstensi browser berbahaya untuk mendapatkan akses semacam ini, yang dilaporkan melewati pemeriksaan integritas bawaan Chromium yang seharusnya mencegah ekstensi tidak sah dipasang secara diam-diam atau merusak data browser. Ini konsisten dengan pola yang lebih luas yang terlihat dalam insiden terkini lainnya. Taktik serupa digunakan dalam kampanye yang dibahas di sini di vpn.social, di mana ekstensi Chrome berbahaya tertangkap mencuri data kripto dengan menyematkan diri secara diam-diam ke dalam browser dan memanen informasi akun sensitif. Ekstensi tetap menjadi permukaan serangan yang menarik karena sering meminta izin yang luas dan berjalan dengan akses signifikan terhadap apa yang terjadi di dalam tab browser Anda.

Mengapa Browser Menjadi Target Favorit

Browser bukan lagi sekadar jendela ke internet. Browser adalah tempat orang login ke aplikasi perbankan, mengelola dompet cryptocurrency, menangani email kerja, dan menyimpan kata sandi di manajer bawaan. Itu membuatnya menjadi titik kompromi tunggal yang efisien bagi penyerang daripada harus menargetkan puluhan aplikasi terpisah.

Pergeseran ini terlihat di berbagai keluarga malware, bukan hanya KREMLIN. Operator ransomware juga mulai memperlakukan browser itu sendiri sebagai infrastruktur. Salah satu contoh yang dibahas sebelumnya melibatkan alat msaRAT dari ransomware Chaos yang menyembunyikan lalu lintas command-and-control di dalam browser korban sendiri, menyamarkan aktivitas jaringan berbahaya sebagai perilaku penjelajahan normal untuk menghindari deteksi. Baik tujuannya adalah penyebaran ransomware atau pencurian kredensial langsung, penyerang semakin melihat nilai dalam bersembunyi di dalam browser daripada di sekitarnya.

Menjaga browser tetap diperbarui tetap menjadi salah satu pertahanan paling dasar dan efektif terhadap kategori ancaman ini. Google, misalnya, secara rutin merilis patch keamanan untuk celah yang dieksploitasi secara aktif, termasuk perbaikan yang dirinci dalam liputan kami tentang Chrome 153 menambal zero-day ketujuhnya tahun ini. Kerentanan seperti ini terkadang dapat dirantai dengan ekstensi atau skrip berbahaya untuk mendapatkan akses yang lebih dalam ke sistem, jadi tetap mengikuti pembaruan terbaru menutup salah satu jalur yang diandalkan penyerang.

Apa Artinya Bagi Anda

Jika Anda menggunakan Chrome atau Edge, dan terutama jika Anda melakukan perbankan online atau mengelola cryptocurrency melalui browser Anda, ada baiknya mengambil beberapa tindakan pencegahan bahkan jika Anda tidak berada di wilayah spesifik yang saat ini menjadi target KREMLIN. Kampanye malware seperti ini cenderung memperluas cakupannya seiring waktu setelah teknik yang mendasarinya terbukti efektif.

VPN tidak akan menghentikan ekstensi browser berbahaya dari mencuri token sesi yang sudah ada di perangkat Anda, tetapi VPN menambahkan lapisan perlindungan dengan mengenkripsi lalu lintas Anda dan membuatnya lebih sulit bagi penyerang di jaringan bersama atau tidak tepercaya untuk mencegat data saat transit. Dikombinasikan dengan kebersihan browser yang baik, lapisan ekstra itu secara signifikan mengurangi eksposur keseluruhan Anda.

Poin Tindakan yang Dapat Dilakukan

  • Tinjau ekstensi Chrome dan Edge yang terpasang secara rutin dan hapus apa pun yang tidak Anda gunakan secara aktif atau tidak Anda kenali.
  • Hanya pasang ekstensi dari toko web resmi, dan periksa izin yang diminta sebelum memasang.
  • Jaga browser Anda tetap diperbarui ke versi terbaru untuk menerima patch keamanan segera setelah dirilis.
  • Gunakan manajer kata sandi yang tepercaya daripada hanya mengandalkan kredensial yang disimpan browser.
  • Logout dari akun sensitif (terutama perbankan) setelah selesai, daripada membiarkan sesi terbuka tanpa batas waktu.
  • Pertimbangkan menggunakan VPN sebagai lapisan perlindungan tambahan untuk lalu lintas jaringan Anda, terutama pada koneksi publik atau bersama.

Kampanye malware KREMLIN adalah sinyal jelas bahwa ancaman berbasis browser berkembang melampaui phishing sederhana. Tetap waspada tentang apa yang Anda pasang dan menjaga perangkat lunak Anda tetap diperbarui tetap menjadi pertahanan paling praktis yang tersedia bagi pengguna sehari-hari saat ini.