KREMLIN forza le estensioni e ruba sessioni browser
KREMLIN ha fatto un salto di fase: dopo la prima copertura, la campagna ora forza l’installazione di estensioni malevole su Google Chrome e Microsoft Edge, invece di limitarsi a nascondere l’infrastruttura. Per chi usa il browser per l’accesso a servizi bancari o SaaS, il punto critico non è più solo la macchina infetta, ma la sessione attiva che può restare valida anche dopo il reset della password.
Il gruppo aggira i controlli normali del browser e inserisce l’estensione senza passare dall’approvazione dell’utente. Una volta dentro, l’estensione può leggere ciò che viene digitato e catturare i session token che tengono l’account autenticato. In pratica, il browser diventa sia il punto di ingresso sia il canale di furto.
Per i team che difendono ambienti finanziari, il rischio trasferibile è la persistenza a livello di sessione: cambiare password non basta se il token è già stato rubato. La campagna resta quindi un problema di accesso browser-based, non solo di pulizia dell’endpoint.
Malware bypasses browser checks to force install Chrome, Edge extensions
A banking malware operation active since mid-2025 has been using a toolkit named KREMLIN to install malicious Chrome and Edge extensions that steal credentials, session tokens, and sensitive data.