Uma Nova Ameaça de Navegador Chamada KREMLIN Está Atacando Usuários do Chrome e do Edge

Pesquisadores de segurança identificaram uma campanha de malware chamada KREMLIN que sequestra o Google Chrome e o Microsoft Edge para roubar credenciais de login e tokens de sessão ativos. De acordo com relatos, a campanha foi rastreada sob a designação REF9334 pelo Elastic Security Labs e parece estar ativa desde pelo menos maio de 2025, tendo como alvo principal usuários de serviços bancários brasileiros. Embora o foco atual pareça ser regional, as técnicas envolvidas (instalação de extensões de navegador maliciosas e contorno das proteções integradas do navegador) são um lembrete de que qualquer navegador baseado em Chromium pode ser alvo desse estilo de ataque.

O que torna o KREMLIN notável não é apenas o fato de ele roubar senhas. Segundo relatos, ele também ataca tokens de sessão e cookies, o que significa que os atacantes podem nem precisar da sua senha para acessar uma conta que já está conectada.

Como Funciona o Roubo de Credenciais e Tokens de Sessão

A maioria das pessoas pensa no roubo de credenciais como um hacker adivinhando ou aplicando phishing para obter uma senha. O roubo de token de sessão é diferente e, indiscutivelmente, mais perigoso, porque tem como alvo os dados que seu navegador usa para provar que você já está autenticado. Quando você faz login em um site bancário, conta de e-mail ou portal de trabalho, seu navegador armazena um token de sessão ou cookie que diz ao site "este usuário já está verificado, deixe-o entrar sem pedir a senha novamente". Se um malware conseguir roubar esse token, um atacante pode potencialmente se passar pela sua sessão ativa sem nunca saber seus dados reais de login e, em alguns casos, sem acionar solicitações de autenticação multifator.

Relatos sobre a campanha KREMLIN descrevem o uso de extensões de navegador maliciosas para obter esse tipo de acesso, contornando supostamente as verificações de integridade integradas do Chromium, que deveriam impedir que extensões não autorizadas fossem instaladas silenciosamente ou adulterassem dados do navegador. Isso é consistente com um padrão mais amplo visto em outros incidentes recentes. Táticas semelhantes foram usadas em uma campanha abordada aqui no vpn.social, na qual extensões maliciosas do Chrome foram flagradas roubando dados de criptomoedas ao se incorporarem discretamente ao navegador e coletarem informações confidenciais de contas. As extensões continuam sendo uma superfície de ataque atraente porque frequentemente solicitam permissões amplas e são executadas com acesso significativo ao que acontece dentro das abas do seu navegador.

Por Que os Navegadores se Tornaram um Alvo Favorito

Os navegadores não são mais apenas uma janela para a internet. É onde as pessoas fazem login em aplicativos bancários, gerenciam carteiras de criptomoedas, lidam com e-mail de trabalho e armazenam senhas em gerenciadores integrados. Isso os torna um ponto único e eficiente de comprometimento para os atacantes, em vez de precisarem atacar dezenas de aplicativos separados.

Essa mudança está aparecendo em várias famílias de malware, não apenas no KREMLIN. Operadores de ransomware também começaram a tratar o próprio navegador como infraestrutura. Um exemplo abordado anteriormente envolvia a ferramenta msaRAT do ransomware Chaos escondendo tráfego de comando e controle dentro do próprio navegador da vítima, disfarçando atividade de rede maliciosa como comportamento normal de navegação para evitar detecção. Seja o objetivo a implantação de ransomware ou o simples roubo de credenciais, os atacantes veem cada vez mais valor em viver dentro do navegador, e não ao redor dele.

Manter os navegadores atualizados continua sendo uma das defesas mais básicas e eficazes contra essa categoria de ameaça. O Google, por exemplo, lança regularmente patches de segurança para falhas ativamente exploradas, incluindo uma correção detalhada em nossa cobertura do Chrome 153 corrigindo seu sétimo zero-day do ano. Vulnerabilidades como essas às vezes podem ser encadeadas com extensões ou scripts maliciosos para obter acesso mais profundo a um sistema, então manter-se atualizado sobre as atualizações fecha uma das vias nas quais os atacantes confiam.

O Que Isso Significa Para Você

Se você usa Chrome ou Edge, e especialmente se faz banking online ou gerencia criptomoedas pelo navegador, vale a pena tomar algumas precauções mesmo que você não esteja na região específica atualmente visada pelo KREMLIN. Campanhas de malware como essa tendem a expandir seu alcance com o tempo, uma vez que as técnicas subjacentes se mostram eficazes.

Uma VPN não impedirá que uma extensão de navegador maliciosa roube um token de sessão que já está no seu dispositivo, mas adiciona uma camada de proteção ao criptografar seu tráfego e tornar mais difícil para atacantes em redes compartilhadas ou não confiáveis interceptarem dados em trânsito. Combinada com uma boa higiene de navegador, essa camada extra reduz significativamente sua exposição geral.

Conclusões Práticas

  • Revise regularmente suas extensões instaladas no Chrome e no Edge e remova qualquer coisa que você não use ativamente ou não reconheça.
  • Instale extensões apenas de lojas oficiais e verifique as permissões solicitadas antes de instalar.
  • Mantenha seu navegador atualizado para a versão mais recente para receber patches de segurança assim que forem lançados.
  • Use um gerenciador de senhas confiável em vez de depender apenas das credenciais salvas no navegador.
  • Faça logout de contas sensíveis (especialmente bancárias) quando terminar, em vez de deixar sessões abertas indefinidamente.
  • Considere usar uma VPN como uma camada adicional de proteção para seu tráfego de rede, particularmente em conexões públicas ou compartilhadas.

A campanha de malware KREMLIN é um sinal claro de que as ameaças baseadas em navegador estão evoluindo além do simples phishing. Manter-se vigilante sobre o que você instala e manter seu software atualizado continua sendo a defesa mais prática disponível para usuários comuns neste momento.