KREMLIN is een banktrojan die is ontworpen om wachtwoorden, browsergegevens en financiële informatie te stelen van geïnfecteerde Windows-computers. De malware is sinds minstens medio 2025 actief en richt zich voornamelijk op gebruikers in Brazilië, met middel van lokmiddelen die verbonden zijn aan Braziliaanse banken en betaaldiensten.
Een groot deel van de aanval vindt plaats in de webbrowser van het slachtoffer. KREMLIN installeert in het geheim een kwaadaardige extensie in Google Chrome Microsoft Edge en de uitbreiding. Zodra deze extensie actief is, kan deze extensie opgeslagen wachtwoorden, cookies, autofill-informatie en andere gegevens verzamelen die in browserprofielen zijn opgeslagen.
Dit maakt KREMLIN bijzonder gevaarlijk voor mensen die hun browser gebruiken voor online bankieren. De extensie kan geselecteerde websites monitoren en informatie registreren die in tekstvelden wordt ingevoerd, waaronder gebruikersnamen en wachtwoorden. Het kan ook informatie onderscheppen die via formulieren en webverzoeken wordt ingediend, waardoor mogelijk betalings- of overdrachtsgegevens worden blootgelegd.
KREMLIN kan meer dan alleen browse-activiteiten observeren. De kwaadaardige extensie kan inhoud die op websites wordt weergegeven aanpassen. Aanvallers kunnen deze mogelijkheid gebruiken om nepformulieren of prompts op legitieme bankpagina’s te plaatsen of gebruikers door te leiden naar andere websites nadat ze met bepaalde links of knoppen hebben gecommuniceerd.
Een eerdere versie van de campagne demonstreerde deze capaciteit tegen WhatsApp Web en de Braziliaanse bank Sicoob. Slachtoffers kregen een Portugees-taal overlay te zien waarin werd beweerd dat hun sessie bijna zou eindigen en hen werd gevraagd een nieuwe QR-code te scannen. De QR-code werd beheerd door de aanvallers en was waarschijnlijk bedoeld om hen te helpen accounts te kapen.
KREMLIN verzamelt ook browserinformatie buiten actieve banksessies. Aanvallers kunnen de extensie opdracht geven om screenshots te maken van open tabbladen, te identificeren welke websites open zijn, cookies en andere browserinformatie op te halen, en de inhoud van webpagina’s te downloaden.
De malware gebruikt verschillende technieken om haar aanwezigheid moeilijker op te merken. In plaats van het slachtoffer te vragen een browserextensie goed te keuren, kopieert KREMLIN deze direct in Chrome een Edge-profiel en wijzigt ze beschermde browserconfiguratiegegevens. Het kan interne browserencryptiesleutels uit het geheugen verkrijgen zodat ongeautoriseerde wijzigingen geldig lijken voor de browser.
De geanalyseerde versie van de extensie heette “AVSync System Inc V19.14.9.” Eerdere versies gebruikten namen zoals “FrameSync Driver System” en “FrameSync Plugin Project.” De extensie kan nog steeds op de extensiepagina van de browser verschijnen, waardoor een onbekende extensie met een generiek pictogram en de ingeschakelde ontwikkelaarsmodus een mogelijk teken van infectie is.
Sommige KREMLIN-campagnes hebben ook aparte remote access Trojans geïnstalleerd. Onderzoekers zagen dat PULSAR in eerdere activiteiten werd gebruikt en REMCOS RAT in latere campagnes. Deze extra tools kunnen aanvallers bredere toegang tot de geïnfecteerde computer bieden.
De gevolgen van een infectie kunnen daarom verder reiken dan één enkele bankrekening. Gestolen browserwachtwoorden en cookies kunnen andere online accounts blootleggen, terwijl onderschepte bankinformatie kan bijdragen aan financiële diefstal. Slachtoffers kunnen ook te maken krijgen met accountkaping, identiteitsdiefstal en verdere malware-infecties.
Hoe infecteert het KREMLIN computers?
KREMLIN-campagnes gebruiken bankgerelateerde bestanden en andere social engineering-technieken om slachtoffers te overtuigen zelf de infectie te starten. Een gedocumenteerde methode omvat kwaadaardige JavaScript-bestanden die zijn vermomd als financiële documenten, zoals betalingsbonnen, bankafschriften en PIX- of TED-overdrachtsbevestigingen.
De bestandsnamen kunnen verwijzen naar bekende Braziliaanse financiële instellingen en betaaldiensten. De campagne gebruikte namen die geassocieerd zijn met Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander en Mercado Pago. Latere campagnes gebruikten ook documenten die als bedrijfsvergunningen en certificaten werden gepresenteerd.
Wanneer het kwaadaardige JavaScript-bestand wordt geopend, ziet het slachtoffer een valse foutmelding die suggereert dat het document niet correct kon worden weergegeven. Achter de schermen controleert het script echter of het op een echte computer draait in plaats van op een malware-analyseomgeving. Vervolgens downloadt het Node.js en gaat het infectieproces voort.
KREMLIN gebruikt een ongebruikelijke aanpak om delen van zijn infrastructuur te lokaliseren. Sommige configuratie-informatie wordt opgeslagen in smart contracts op de Ethereum-blockchain. De malware kan deze publieke blockchaingegevens lezen om te bepalen waar extra componenten vandaan moeten worden gedownload, waardoor de operators de infrastructuur kunnen wijzigen zonder volledig afhankelijk te zijn van een vast serveradres.
Sommige kwaadaardige componenten zijn ook verborgen in ogenschijnlijk gewone JPEG-bestanden die op het Internet Archive worden gehost. De meest recent geanalyseerde versie gebruikt bovendien een legitiem ondertekend SentinelOne-uitvoerbaar bestand om een kwaadaardige DLL te laden via een techniek die DLL side-loading wordt genoemd.
Persistentie wordt opgezet via een geplande taak genaamd “MicrosoftNodeRuntimeUpdater.” Deze taak is zo ingesteld dat de malware kort na het inlogen van de gebruiker bij Windows wordt gestart, waardoor de infectie de systeemherstarts overleeft.
Andere gedocumenteerde KREMLIN-campagnes hebben LNK-snelkoppelingsbestanden gebruikt die PowerShell-scripts uitvoeren. Aanvallers hebben ook een nep-Adobe Acrobat-plugin gepromoot via een imitatiewebsite. Deze methoden tonen aan dat de malware niet alleen op één type kwaadaardig bestand vertrouwt.
Gebruikers moeten bijzonder voorzichtig zijn met onverwachte bankdocumenten die online worden ontvangen. JavaScript-bestanden met extensies zoals .js of .jse mogen niet worden behandeld als normale bankafschriften, bonnetjes of overdrachtsbevestigingen. Software- en browserextensies moeten ook alleen worden verkregen van vertrouwde en officiële bronnen.
Het regelmatig controleren van geïnstalleerde browserextensies kan helpen om verdachte toevoegingen aan het licht te brengen. Een onbekende extensie die plotseling in Chrome of Edge verschijnt, vooral een die in ontwikkelaarsmodus werkt, verdient onderzoek.
Systemen waarvan wordt vermoed dat ze geïnfecteerd zijn met KREMLIN moeten worden gescand met betrouwbare beveiligingssoftware. Omdat de malware wachtwoorden en bankgegevens kan stelen, moeten de inloggegevens van een bekend schoon apparaat worden gewijzigd nadat de infectie is verwijderd. Bankrekeningen en andere belangrijke diensten moeten ook worden gecontroleerd op ongeautoriseerde activiteiten.