Site-urile NoaMedia
Cum poate un malware să instaleze extensii browser fără acordul utilizatorului și să fure datele de autentificare? Cercetătorii Elastic Security Labs au descoperit o campanie activă din mai 2025 în Brazilia, care exploatează contracte inteligente Ethereum pentru a distribui malware în browserele Chrome și Edge. Această metodă ridică noi riscuri pentru securitatea datelor personale online.
Pe scurt:
- Un malware numit KREMLIN instalează extensii malițioase în Chrome și Edge fără acordul utilizatorilor, furând date de autentificare și tokenuri de sesiune.
- Atacul exploatează vulnerabilități ale browserelor Chromium și folosește contracte inteligente Ethereum pentru distribuirea payload-urilor malițioase.
- Extensia AVSync accesează cookie-uri, parole, monitorizează filele și poate captura ecranul, fiind activată în modul dezvoltator pentru a părea legitimă.
- Campaniile vizate au avut loc în Brazilia din mai 2025, folosind momeli bancare și instrumente precum REMCOS pentru acces de la distanță.
malware extensii browser instalează fără acord și fură date de autentificare
Un malware specializat în atacuri bancare instalează extensii malițioase în browserele Chrome și Edge fără consimțământul utilizatorilor, exploatând vulnerabilități în verificările de integritate ale browserelor bazate pe Chromium. Acest atac, monitorizat de Elastic Security Labs, folosește toolkitul KREMLIN pentru a fura date de autentificare, tokenuri de sesiune și alte informații sensibile.
Atacul începe prin deschiderea unui fișier JavaScript mascat drept document financiar, precum o chitanță sau factură. Dacă mediul nu este unul de analiză, malware-ul descarcă Node.js și își asigură persistența printr-o sarcină programată. Locația următorului payload este obținută printr-un contract inteligent Ethereum, care servește ca mecanism de distribuție.
Metoda KREMLIN pentru instalarea extensiilor browser
KREMLIN instalează extensiile malițioase fără confirmarea utilizatorului, așteptând închiderea browserului sau forțând terminarea acestuia. Extensia este copiată în directoarele de profil și activată în modul dezvoltator, fiind înregistrată în fișierul Secure Preferences al Chromium.
Malware-ul reproduce mecanismele criptografice de verificare a integrității preferințelor browserului, generând HMAC-uri și hashuri valide cu cheile extrase din browser. Astfel, extensia pare legitimă, deși nu este aprobată de utilizator.
Extensia, denumită AVSync, accesează cookie-uri, local storage, session storage și textul introdus în formulare, inclusiv parole. De asemenea, poate captura ecranul și sursa paginilor, monitoriza filele deschise și istoricul, intercepta solicitările HTTP și injecta cod HTML controlat de la distanță.
Atacurile vizate și utilizarea contractelor inteligente Ethereum
KREMLIN funcționează și ca instrument de furt de informații, arhivând și exfiltrând baze de date ale browserului, cookie-uri, extensii și cheile criptografice App-Bound pentru decriptarea datelor protejate.
Operațiunile au vizat în principal sisteme din Brazilia, cu cel puțin șapte campanii începând din mai 2025, folosind momeli ce imitau 12 bănci. În campaniile recente a fost utilizat REMCOS, un instrument de acces de la distanță, înlocuind Pulsar RAT folosit anterior.
Contractele inteligente Ethereum sunt folosite ca dead-drop resolver pentru locația payload-urilor, iar Internet Archive găzduiește fișiere ascunse în imagini JPEG, facilitând ascunderea componentelor malware-ului.
Noa Insight
Un malware specializat în atacuri bancare instalează extensii malițioase în browserele Chrome și Edge fără acordul utilizatorilor, exploatând vulnerabilități în verificările de integritate ale browserelor bazate pe Chromium. Acesta folosește toolkitul KREMLIN pentru a fura date de autentificare și alte informații sensibile, distribuind payload-uri prin contracte inteligente Ethereum.
Implicații
Atacul afectează securitatea utilizatorilor și integritatea datelor în browserele vizate, permițând furtul de informații sensibile și acces neautorizat la conturi, cu impact asupra protecției datelor personale și financiare.
Elemente-cheie
- Contractele inteligente Ethereum sunt utilizate ca mecanism de distribuție și dead-drop pentru locația payload-urilor malware.
- Extensia malițioasă AVSync este activată în modul dezvoltator și înregistrată în fișierul Secure Preferences al browserelor Chromium.
- Malware-ul asigură persistența prin instalarea Node.js și programarea unei sarcini automate pe sistemul infectat.
Sursa originală a acestui articol este https://playtech.ro/2026/un-malware-poate-instala-extensii-chrome-si-edge-fara-acordul-utilizatorului-cum-functioneaza-atacul/ (link)
