Infezioni da Malware KREMLIN
I ricercatori di sicurezza hanno tracciato oltre 1.500 infezioni da malware KREMLIN, dopo aver scoperto una campagna di phishing bancario in Brasile che utilizza contratti intelligenti di Ethereum per aggiornare l’infrastruttura di attacco e estensioni del browser malevole, finalizzate a rubare credenziali e dati di sessione. Elastic Security Labs ha divulgato i dettagli dell’operazione in un rapporto tecnico del 14 settembre, dopo aver monitorato l’attività sotto il codice REF9334 da maggio 2025.
Dettagli dell’Operazione
I ricercatori hanno seguito sette campagne per circa 15 mesi, collegando le ultime versioni a estensioni di Chrome e Microsoft Edge in grado di raccogliere credenziali del browser, cookie, token di sessione e altre informazioni sensibili. SlowMist ha emesso un avviso di intelligence sulle minacce il 16 settembre, attirando l’attenzione sul componente blockchain dell’operazione, che include tre contratti Ethereum legati al cambiamento dell’infrastruttura di comando e controllo.
“Nonostante il nome KREMLIN, Elastic ha dichiarato di non aver trovato prove che collegassero la campagna alla Russia.”
Il nome del toolkit deriva dal soprannome dell’autore del malware, mentre gli inganni impersonano banche brasiliane, utilizzano testi in lingua portoghese e colpiscono principalmente sistemi situati in Brasile.
Utilizzo di Ethereum
Ethereum è entrato nell’operazione nel maggio 2026, quando i ricercatori hanno osservato il primo contratto intelligente malevolo legato all’infrastruttura di KREMLIN. Elastic ha tracciato il primo contratto al 19 maggio, il quale memorizzava valori di configurazione che indirizzavano i sistemi infetti verso posizioni utilizzate per l’installer e l’estensione del browser malevola.
I contratti successivi hanno cambiato struttura, passando a un modello di configurazione chiave-valore che poteva essere aggiornato dall’operatore. L’attuale contratto identificato da Elastic è 0xCD7360A83E5cdbBbbbcEB0e78748babA6740d07b, e i ricercatori hanno confermato che era ancora in uso al momento della pubblicazione del rapporto.
Meccanismi di Attacco
Il componente browser di KREMLIN utilizza una tecnica che consente a un’estensione non autorizzata di apparire correttamente registrata all’interno dei browser basati su Chromium. Elastic ha dichiarato che l’installer modifica i dati Secure Preferences di Chrome o Edge e rigenera gli HMAC e gli hash di integrità crittografati che il browser si aspetta.
Una volta che quei valori corrispondono, l’estensione malevola può caricarsi anche se l’utente non ha mai approvato un’installazione tramite l’official extension store. La tecnica stessa precede la campagna KREMLIN.
Estensione Malevola
L’estensione analizzata da Elastic si mascherava come software chiamato AVSync e richiedeva accesso a schede, cookie, archiviazione del browser e richieste web. Poteva raccogliere dati salvati del browser e intercettare informazioni durante sessioni web attive.
Il malware raccoglie database del browser contenenti informazioni di accesso, cookie e dati di moduli memorizzati. Elastic ha scoperto che aveva acquisito materiale di crittografia necessario per accedere ai dati protetti del browser prima di inviare le informazioni raccolte all’infrastruttura controllata dagli attaccanti.
Controllo Anti-Analisi
Elastic ha ottenuto una misura insolitamente diretta della portata della campagna dopo che i ricercatori hanno notato che KREMLIN controllava un dominio internet non registrato come parte del suo processo anti-analisi. Il malware era progettato per testare se il dominio rispondeva.
“Questo ha temporaneamente degradato e manipolato i meccanismi di difesa della campagna.”
Elastic ha registrato il dominio precedentemente inutilizzato e lo ha indirizzato verso un’infrastruttura controllata dai ricercatori. Le macchine infette hanno quindi iniziato a contattare l’indirizzo appena registrato. Elastic ha contato 1.515 sistemi al momento della pubblicazione, con il 98,75% geolocalizzati in Brasile.
Conclusioni e Raccomandazioni
La campagna ha cambiato strumenti durante la sua vita. Onde precedenti distribuivano PULSAR RAT, mentre il ramo più recente legato a Ethereum ha introdotto REMCOS RAT insieme all’estensione del browser personalizzata. Elastic ha mappato l’attività alle tecniche MITRE ATT&CK che coprono esecuzione, persistenza, accesso alle credenziali, estensioni del browser, comando e controllo e esfiltrazione dei dati.
I team di sicurezza possono utilizzare gli indicatori pubblicati da Elastic Security Labs e il suo repository pubblico di IOC per controllare la telemetria di endpoint, browser e rete per artefatti legati alla campagna.
