Una nuova minaccia per il browser chiamata KREMLIN sta prendendo di mira gli utenti di Chrome ed Edge

I ricercatori di sicurezza hanno identificato una campagna malware chiamata KREMLIN che dirotta Google Chrome e Microsoft Edge per rubare credenziali di accesso e token di sessione attivi. Secondo le segnalazioni, la campagna è stata tracciata con la designazione REF9334 da Elastic Security Labs e sembra essere attiva almeno da maggio 2025, prendendo principalmente di mira gli utenti dei servizi bancari brasiliani. Sebbene l'attuale focus sembri regionale, le tecniche coinvolte (installare estensioni del browser fraudolente e aggirare le protezioni integrate del browser) sono un promemoria del fatto che qualsiasi browser basato su Chromium può essere un bersaglio per questo stile di attacco.

Ciò che rende KREMLIN degno di nota non è solo il fatto che rubi le password. Secondo quanto riportato, prende di mira anche i token di sessione e i cookie, il che significa che gli attaccanti potrebbero non aver nemmeno bisogno della tua password per accedere a un account già connesso.

Come funziona il furto di credenziali e token di sessione

La maggior parte delle persone pensa al furto di credenziali come a un hacker che indovina o sottrae una password tramite phishing. Il furto di token di sessione è diverso, e probabilmente più pericoloso, perché prende di mira i dati che il tuo browser utilizza per dimostrare che sei già autenticato. Quando accedi a un sito bancario, a un account email o a un portale di lavoro, il tuo browser memorizza un token di sessione o un cookie che comunica al sito "questo utente è già verificato, lascialo entrare senza chiedere di nuovo la password". Se il malware riesce a rubare quel token, un attaccante può potenzialmente impersonare la tua sessione attiva senza mai conoscere i tuoi dettagli di accesso reali, e in alcuni casi senza attivare le richieste di autenticazione a più fattori.

Le segnalazioni sulla campagna KREMLIN la descrivono mentre utilizza estensioni del browser malevole per ottenere questo tipo di accesso, aggirando secondo quanto riportato i controlli di integrità integrati di Chromium che dovrebbero impedire l'installazione silenziosa di estensioni non autorizzate o la manomissione dei dati del browser. Ciò è coerente con un modello più ampio osservato in altri incidenti recenti. Tattiche simili sono state utilizzate in una campagna trattata qui su vpn.social, in cui estensioni Chrome malevole sono state colte a rubare dati crypto insinuandosi silenziosamente nel browser e raccogliendo informazioni sensibili sugli account. Le estensioni rimangono una superficie di attacco attraente perché spesso richiedono permessi ampi e funzionano con un accesso significativo a ciò che accade all'interno delle schede del browser.

Perché i browser sono diventati un bersaglio preferito

I browser non sono più solo una finestra su internet. Sono il luogo in cui le persone accedono alle app bancarie, gestiscono portafogli di criptovalute, gestiscono l'email di lavoro e conservano le password nei gestori integrati. Questo li rende un efficiente punto singolo di compromissione per gli attaccanti, invece di dover prendere di mira decine di applicazioni separate.

Questo cambiamento si manifesta in diverse famiglie di malware, non solo KREMLIN. Anche gli operatori di ransomware hanno iniziato a trattare il browser stesso come infrastruttura. Un esempio trattato in precedenza riguardava lo strumento msaRAT del ransomware Chaos che nasconde il traffico di command-and-control all'interno del browser della vittima stessa, camuffando l'attività di rete malevola come normale comportamento di navigazione per evitare il rilevamento. Che l'obiettivo sia il rilascio di ransomware o il semplice furto di credenziali, gli attaccanti vedono sempre più valore nel vivere all'interno del browser piuttosto che attorno ad esso.

Mantenere i browser aggiornati rimane una delle difese più basilari ed efficaci contro questa categoria di minacce. Google, ad esempio, distribuisce regolarmente patch di sicurezza per vulnerabilità sfruttate attivamente, inclusa una correzione dettagliata nella nostra copertura di Chrome 153 che corregge il suo settimo zero-day dell'anno. Vulnerabilità come queste possono talvolta essere concatenate con estensioni o script malevoli per ottenere un accesso più profondo a un sistema, quindi rimanere aggiornati sulle patch chiude una delle vie su cui gli attaccanti fanno affidamento.

Cosa significa questo per te

Se usi Chrome o Edge, e soprattutto se fai banking online o gestisci criptovalute tramite il tuo browser, vale la pena adottare alcune precauzioni anche se non ti trovi nella regione specifica attualmente presa di mira da KREMLIN. Le campagne malware come questa tendono ad ampliare la loro portata nel tempo, una volta che le tecniche sottostanti si dimostrano efficaci.

Una VPN non impedirà a un'estensione del browser malevola di rubare un token di sessione che si trova già sul tuo dispositivo, ma aggiunge un livello di protezione cifrando il tuo traffico e rendendo più difficile per gli attaccanti su reti condivise o non attendibili intercettare i dati in transito. Combinata con una buona igiene del browser, quel livello extra riduce in modo significativo la tua esposizione complessiva.

Azioni concrete da intraprendere

  • Rivedi regolarmente le estensioni installate su Chrome ed Edge e rimuovi tutto ciò che non usi attivamente o che non riconosci.
  • Installa estensioni solo da store web ufficiali e controlla i permessi richiesti prima dell'installazione.
  • Mantieni il tuo browser aggiornato all'ultima versione per ricevere le patch di sicurezza non appena vengono rilasciate.
  • Usa un gestore di password affidabile invece di affidarti esclusivamente alle credenziali salvate nel browser.
  • Disconnettiti dagli account sensibili (soprattutto quelli bancari) quando hai finito, invece di lasciare le sessioni aperte a tempo indeterminato.
  • Valuta l'uso di una VPN come livello aggiuntivo di protezione per il tuo traffico di rete, in particolare su connessioni pubbliche o condivise.

La campagna malware KREMLIN è un chiaro segnale che le minacce basate sul browser si stanno evolvendo oltre il semplice phishing. Rimane vigili su ciò che installi e mantenere aggiornato il tuo software resta la difesa più pratica attualmente disponibile per gli utenti comuni.