Neue KREMLIN-Malware umgeht Browser-Integritätsprüfungen zur Installation bösartiger Erweiterungen
Eine neu entdeckte Malware namens KREMLIN umgeht die Integritätsprüfungen von Browsern, um heimlich bösartige Erweiterungen in Chrome und Edge zu installieren. Die Malware ist seit über einem Jahr aktiv.
Eine neuartige Schadsoftware namens KREMLIN wurde identifiziert, da sie die Integritätsprüfungen von Browsern umgehen kann, um bösartige Erweiterungen auf Google Chrome und Microsoft Edge zu erzwingen, ohne die Zustimmung des Benutzers. Forscher geben an, dass diese Malware seit über einem Jahr aktiv ist, wobei erste Vorkommnisse bis Mitte 2025 zurückreichen.
Die KREMLIN-Malware-Kette beginnt typischerweise damit, dass ein Benutzer eine getarnte JavaScript-Datei öffnet, die oft als Finanzdokumente wie Bankbelege oder Rechnungen getarbt ist. Nach der Umgehung der Sandbox-Erkennung löst das Skript eine gefälschte Fehlermeldung aus, während es heimlich Node.js herunterlädt und über geplante Aufgaben Persistenz aufbaut.
Weitere Analysen zeigen den raffinierten Ansatz von KREMLIN zur Installation von Erweiterungen. Es wartet darauf, dass der Browser geschlossen wird, oder beendet den Prozess, wenn er im Leerlauf ist, und kopiert dann die bösartige Erweiterung in das Benutzerprofilverzeichnis des Browsers. Durch die Aktivierung des Entwicklermodus und die Änderung der sicheren Einstellungen von Chromium täuscht es den Browser, die Erweiterungen als legitim installiert zu erkennen.
Nach der Installation beschäftigt sich die Erweiterung, die sich als "AVSync" ausgibt, mit Datendiebstahl. Sie kann Cookies, lokalen Speicher und Sitzungsdaten exfiltrieren, Tastatureingaben einschließlich Passwörtern protokollieren, Screenshots aufnehmen und den Browserverlauf sammeln. Sie hat auch die Fähigkeit, bösartige HTML-Inhalte einzuschleusen und Benutzeraktionen umzuleiten.
Forscher von Elastic Security Labs haben laufende KREMLIN-Kampagnen erfolgreich gestört, indem sie Domänen registrierten, die von der Malware als Anti-Sandbox-Sonden verwendet werden, wodurch deren Betrieb und Datenexfiltrationsfähigkeiten behindert wurden.