Kremlin banki trójai
Az Elastic Security Labs egy korábban nem dokumentált, KREMLIN nevű brazil banki kártevőcsaládot elemzett, amelyet a REF9334-ként követett szereplő legalább 2025 májusa óta használ. A kampány tizenkét brazil bank nevével visszaélő csalikkal terjed, és elsősorban Chrome- és Edge-felhasználókat céloz. A fertőzés egy banki bizonylatnak, számlának vagy vállalati dokumentumnak álcázott JavaScript fájl kézi elindításával kezdődik.
A többlépcsős loader ellenőrzi, hogy nem sandboxban vagy virtuális gépen fut-e, majd Node.js-t és további komponenseket tölt le. A tartós jelenlétet MicrosoftNodeRuntimeUpdater nevű ütemezett feladattal biztosítja. A támadói infrastruktúra címét és a payloadok helyét Ethereum okosszerződésből kérdezi le, így a támadók a kártevő módosítása nélkül cserélhetik a szervereket. A lánc egy legitim SentinelOne binárist is felhasznál DLL-sideloadingra.
A KREMLIN legérdekesebb része a rosszindulatú böngészőbővítmény telepítése. A kártevő módosítja a Chromium Secure Preferences adatait, és újragenerálja a böngésző integritásvédelméhez használt HMAC-okat és App-Bound titkosított hash-eket. Így a Chrome vagy Edge úgy töltheti be a támadó bővítményét, mintha annak telepítése szabályosan történt volna. A bővítmény hozzáfér a lapokhoz, cookie-khoz és webes tárolókhoz, képernyőképet és teljes HTML-t készíthet, valamint session tokeneket és más érzékeny adatokat továbbíthat a C2-szervernek. Ez banki környezetben azért veszélyes, mert a már hitelesített munkamenet ellopásával a támadó bizonyos esetekben a jelszó és az MFA újbóli megadása nélkül is visszaélhet a felhasználó hozzáférésével.
Az Elastic hét kampányt kapcsolt ehhez a művelethez, és a célpontok döntő többsége Brazíliában található. A kutatók egy érdekes védekezési lehetőséget is kihasználtak, regisztrálták azt a korábban nem létező domaint, amelyet a KREMLIN sandbox ellenőrzésre használt. Ezen keresztül több mint 1500 fertőzött rendszert azonosítottak, miközben átmenetileg meg is zavarták a kártevő elemzésellenes mechanizmusát.
