Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

KREMLIN Banking Malware Hijacks Chrome and Edge to Steal Credentials and Session Tokens

1 minute de lecture

Mis à jour :

KREMLIN : Une menace bancaire persistante via extensions malveillantes

Le malware bancaire KREMLIN (suivi sous le nom REF9334) cible principalement les utilisateurs au Brésil via l’usurpation d’identité d’institutions financières. Ce logiciel malveillant se distingue par l’utilisation de contrats intelligents Ethereum pour dissimuler son infrastructure de commande et de contrôle (C2), rendant ses serveurs dynamiques et difficiles à neutraliser.

Points clés

  • Vecteur d’attaque : Fichiers JavaScript déguisés en documents administratifs ou factures.
  • Persistance et évasion : Utilise des techniques anti-sandbox (vérification du matériel, détection de processus, requêtes réseau “canary”) pour éviter l’analyse. Emploie le DLL side-loading via un binaire légitime de SentinelOne.
  • Méthode de compromission : Installation d’une extension de navigateur malveillante (ex: “AVSync System Inc.”) sur Chrome et Edge.
  • Exfiltration : Vol de jetons de session, cookies, captures d’écran, historiques et code source HTML via des canaux WebSocket ou des requêtes déguisées en fichiers CSS.

Vulnérabilités exploitées

L’attaquant exploite des techniques de contournement de l’intégrité de Chromium (connues sous les noms de Phantom Extension et GhostChrome-X). Celles-ci permettent de modifier les Secure Preferences du navigateur et de régénérer les hashs de protection sans déclencher d’alerte, afin d’installer des extensions non autorisées. Bien qu’aucune CVE spécifique ne soit citée pour ces méthodes, elles exploitent des faiblesses structurelles dans la gestion des extensions Chromium.

Recommandations

  • Surveillance des extensions : Auditer régulièrement les extensions installées sur Chrome et Edge, en particulier celles possédant des permissions étendues (accès aux cookies, stockage, requêtes web).
  • Analyse comportementale : Surveiller la création de tâches planifiées suspectes et l’exécution de binaires non signés utilisant des techniques de DLL side-loading.
  • Protection des endpoints : Maintenir les solutions EDR à jour pour détecter les comportements d’évasion (détection de sandbox, manipulation de fichiers de configuration du navigateur).
  • Sensibilisation : Former les utilisateurs à la méfiance envers les fichiers JavaScript ou les pièces jointes non sollicitées, même s’ils semblent provenir de sources légitimes.
  • Filtrage réseau : Bloquer les connexions sortantes suspectes vers des domaines de C2 dynamiques et surveiller les requêtes vers des endpoints inhabituels ressemblant à des fichiers CSS.

Source

Vous pourriez aimer