Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Malware bypasses browser checks to force install Chrome, Edge extensions

1 minute de lecture

Mis à jour :

Menace KREMLIN : Installation forcée d’extensions malveillantes sur Chromium

Le toolkit KREMLIN, actif depuis mi-2025, orchestre des campagnes de logiciels bancaires ciblant principalement le Brésil. Il utilise des fichiers JavaScript déguisés en documents administratifs pour infecter les systèmes, télécharger des outils complémentaires et persister via des tâches planifiées.

Points clés :

  • Contournement des protections : Le malware injecte des extensions malveillantes (sous le nom “AVSync”) dans Chrome et Edge sans interaction utilisateur, en manipulant directement les fichiers de préférences et les clés de chiffrement du navigateur.
  • Intégrité compromise : KREMLIN recalcule les HMAC et les hachages d’intégrité de Chromium pour faire paraître l’extension légitime aux yeux du navigateur.
  • Exfiltration massive : Une fois actif, le malware dérobe des jetons de session, des cookies, effectue des enregistrements de frappe (keylogging), capture des écrans et intercepte le trafic HTTP.
  • Infrastructure : Utilisation de contrats intelligents Ethereum pour la résolution des adresses de serveurs de commande (C2) et détournement de l’Internet Archive pour l’hébergement de payloads.

Vulnérabilités :

  • Aucune CVE spécifique n’est associée, car il s’agit d’une technique documentée mais complexe consistant à abuser du mode développeur et à falsifier les fichiers Secure Preferences et les clés d’intégrité cryptographiques locales.

Recommandations :

  • Surveillance des processus : Détecter l’exécution inattendue de scripts Node.js dans le profil utilisateur.
  • Analyse des extensions : Auditer régulièrement les extensions installées, particulièrement celles non issues du Web Store officiel.
  • Protection des terminaux : Utiliser des solutions EDR capables de surveiller les modifications apportées aux répertoires de configuration des navigateurs et aux fichiers de préférences sécurisées.
  • Sensibilisation : Alerter les utilisateurs sur les risques liés à l’ouverture de fichiers JavaScript (JS) suspects reçus par mail, souvent présentés comme des factures ou des reçus bancaires.

Source

Vous pourriez aimer