Malware KREMLIN força instalação de extensões maliciosas no Chrome e Edge para roubar credenciais de bancos brasileiros
O toolkit KREMLIN força a instalação de extensões maliciosas no Chrome e Edge sem interação da vítima, adulterando os arquivos internos de segurança do navegador para que a extensão passe por legítima. Ativo desde meados de 2025 e voltado a clientes de pelo menos 12 bancos brasileiros, o malware já infectou mais de 1.500 sistemas, roubando cookies, tokens de sessão e credenciais bancárias.
A operação identificada pela Bleeping Computer usa um toolkit batizado KREMLIN para instalar extensões maliciosas no Chrome e Edge sem o consentimento explícito da vítima, driblando as verificações que normalmente impediriam a instalação de extensões fora da loja oficial. A campanha está ativa desde maio de 2025, já soma pelo menos sete ondas distintas e se passa por doze instituições bancárias brasileiras, com cerca de 1.515 sistemas infectados confirmados, a esmagadora maioria no Brasil.
O diferencial técnico do KREMLIN é a forma como ele contorna as proteções do navegador: em vez de depender de um instalador visível ou de enganar o usuário para ativar manualmente uma extensão, o malware espera o navegador ser fechado ou ficar ocioso, copia a extensão diretamente para o diretório de perfil do Chrome/Edge, ativa o modo desenvolvedor e reescreve o arquivo interno "Secure Preferences" — usando as próprias chaves de criptografia do navegador para regenerar os hashes e verificações HMAC que normalmente identificariam uma modificação não autorizada. O resultado é uma extensão, disfarçada de "AVSync", que o navegador passa a tratar como se tivesse sido instalada legitimamente pelo próprio usuário.
Uma vez ativa, a extensão maliciosa concentra as capacidades típicas de um trojan bancário: roubo de cookies e dados de armazenamento local, captura de tokens de sessão, keylogging de formulários, captura de tela e interceptação/injeção de conteúdo em requisições HTTP — o suficiente para sequestrar sessões de internet banking já autenticadas ou para sobrepor telas falsas (overlay) durante o acesso a contas reais.
Como em boa parte das campanhas de malware bancário no Brasil, o vetor inicial provável são anexos ou links disfarçados de boletos, comprovantes ou documentos financeiros. Na prática, usuários e áreas de TI devem revisar periodicamente as extensões instaladas em chrome://extensions e edge://extensions em busca de itens não reconhecidos, restringir por política corporativa a instalação de extensões via modo desenvolvedor, manter soluções antimalware com monitoramento de integridade de extensões, e instituições financeiras devem ficar atentas a padrões de reuso de sessão compatíveis com esse tipo de sequestro de cookie.