Nowe zagrożenie dla przeglądarek o nazwie KREMLIN celuje w użytkowników Chrome i Edge

Badacze bezpieczeństwa zidentyfikowali kampanię złośliwego oprogramowania o nazwie KREMLIN, która przejmuje Google Chrome i Microsoft Edge w celu kradzieży danych logowania oraz aktywnych tokenów sesji. Według doniesień kampania jest śledzona pod oznaczeniem REF9334 przez Elastic Security Labs i wydaje się aktywna co najmniej od maja 2025 roku, atakując głównie użytkowników brazylijskich usług bankowych. Choć obecny zakres działań wydaje się regionalny, zastosowane techniki (instalowanie fałszywych rozszerzeń przeglądarki i omijanie wbudowanych zabezpieczeń) przypominają, że każda przeglądarka oparta na Chromium może stać się celem tego typu ataku.

To, co czyni KREMLIN godnym uwagi, to nie tylko kradzież haseł. Jak donoszono, sięga również po tokeny sesji i pliki cookie, co oznacza, że atakujący mogą nie potrzebować nawet Twojego hasła, aby uzyskać dostęp do już zalogowanego konta.

Jak działa kradzież danych logowania i tokenów sesji

Większość ludzi wyobraża sobie kradzież danych logowania jako zgadywanie lub wyłudzanie hasła przez hakera. Kradzież tokenów sesji działa inaczej i jest arguably bardziej niebezpieczna, ponieważ celuje w dane, których Twoja przeglądarka używa, aby potwierdzić, że jesteś już uwierzytelniony. Gdy logujesz się do strony banku, konta e-mail lub portalu służbowego, Twoja przeglądarka przechowuje token sesji lub plik cookie, który mówi witrynie: „ten użytkownik jest już zweryfikowany, wpuść go bez ponownego pytania o hasło". Jeśli złośliwe oprogramowanie może ukraść ten token, atakujący może potencjalnie podszyć się pod Twoją aktywną sesję, nie znając nigdy Twoich rzeczywistych danych logowania, a w niektórych przypadkach bez wywoływania monitów o uwierzytelnianie wieloskładnikowe.

Doniesienia o kampanii KREMLIN opisują wykorzystanie złośliwych rozszerzeń przeglądarki do uzyskania tego rodzaju dostępu, rzekomo omijając wbudowane mechanizmy kontroli integralności Chromium, które mają zapobiegać cichej instalacji nieautoryzowanych rozszerzeń lub manipulowaniu danymi przeglądarki. Jest to zgodne z szerszym wzorcem obserwowanym w innych niedawnych incydentach. Podobne taktyki zastosowano w kampanii opisanej tutaj na vpn.social, gdzie złośliwe rozszerzenia Chrome zostały przyłapane na kradzieży danych kryptowalutowych, cicho wbudowując się w przeglądarkę i pozyskując poufne informacje o kontach. Rozszerzenia pozostają atrakcyjną powierzchnią ataku, ponieważ często proszą o szerokie uprawnienia i działają z znacznym dostępem do tego, co dzieje się w kartach przeglądarki.

Dlaczego przeglądarki stały się ulubionym celem

Przeglądarki nie są już tylko oknem na internet. To miejsce, w którym ludzie logują się do aplikacji bankowych, zarządzają portfelami kryptowalutowymi, obsługują służbową pocztę e-mail i przechowują hasła w wbudowanych menedżerach. To czyni je efektywnym pojedynczym punktem kompromitacji dla atakujących, zamiast konieczności celowania w dziesiątki oddzielnych aplikacji.

Ta zmiana jest widoczna w wielu rodzinach złośliwego oprogramowania, nie tylko KREMLIN. Operatorzy ransomware również zaczęli traktować samą przeglądarkę jako infrastrukturę. Jeden z wcześniej opisanych przykładów dotyczył narzędzia msaRAT ransomware Chaos ukrywającego ruch command-and-control w przeglądarce ofiary, maskując złośliwą aktywność sieciową jako normalne zachowanie podczas przeglądania, aby uniknąć wykrycia. Niezależnie od tego, czy celem jest wdrożenie ransomware, czy prosta kradzież danych logowania, atakujący coraz częściej dostrzegają wartość w życiu wewnątrz przeglądarki, a nie wokół niej.

Utrzymywanie przeglądarek w aktualnej wersji pozostaje jedną z najbardziej podstawowych i skutecznych obron przed tą kategorią zagrożeń. Google na przykład regularnie dostarcza poprawki bezpieczeństwa dla aktywnie wykorzystywanych luk, w tym poprawkę szczegółowo opisaną w naszym artykule o Chrome 153 łatającym siódmy zero-day w tym roku. Luki takie jak te mogą czasami być łączone ze złośliwymi rozszerzeniami lub skryptami w celu uzyskania głębszego dostępu do systemu, więc aktualizowanie na bieżąco zamyka jedną z dróg, na których polegają atakujący.

Co to oznacza dla Ciebie

Jeśli używasz Chrome lub Edge, a zwłaszcza jeśli korzystasz z bankowości online lub zarządzasz kryptowalutami przez przeglądarkę, warto podjąć kilka środków ostrożności, nawet jeśli nie znajdujesz się w konkretnym regionie obecnie atakowanym przez KREMLIN. Kampanie złośliwego oprogramowania takie jak ta mają tendencję do rozszerzania zakresu z czasem, gdy podstawowe techniki okażą się skuteczne.

VPN nie powstrzyma złośliwego rozszerzenia przeglądarki przed kradzieżą tokenu sesji, który już znajduje się na Twoim urządzeniu, ale dodaje warstwę ochrony, szyfrując Twój ruch i utrudniając atakującym w sieciach współdzielonych lub niezaufanych przechwytywanie danych w tranzycie. W połączeniu z dobrą higieną przeglądarki ta dodatkowa warstwa znacząco zmniejsza ogólne narażenie.

Praktyczne wnioski

  • Regularnie przeglądaj zainstalowane rozszerzenia Chrome i Edge i usuwaj wszystko, czego aktywnie nie używasz lub nie rozpoznajesz.
  • Instaluj rozszerzenia wyłącznie z oficjalnych sklepów internetowych i sprawdź wymagane uprawnienia przed instalacją.
  • Utrzymuj przeglądarkę w najnowszej wersji, aby otrzymywać poprawki bezpieczeństwa zaraz po ich wydaniu.
  • Korzystaj ze renomowanego menedżera haseł, zamiast polegać wyłącznie na danych logowania zapisanych w przeglądarce.
  • Wylogowuj się z wrażliwych kont (zwłaszcza bankowych) po zakończeniu pracy, zamiast pozostawiać sesje otwarte bezterminowo.
  • Rozważ korzystanie z VPN jako dodatkowej warstwy ochrony ruchu sieciowego, szczególnie w połączeniach publicznych lub współdzielonych.

Kampania złośliwego oprogramowania KREMLIN jest wyraźnym sygnałem, że zagrożenia oparte na przeglądarce ewoluują poza proste phishing. Zachowanie czujności co do tego, co instalujesz, i utrzymywanie oprogramowania w aktualnej wersji pozostaje najbardziej praktyczną obroną dostępną dla zwykłych użytkowników w tej chwili.