Minacce · 44 giorni fa
KREMLIN ha fatto un salto di fase: dopo la prima copertura, la campagna ora forza l’installazione di estensioni malevole su Google Chrome e Microsoft Edge, invece di limitarsi a nascondere l’infrastruttura. Per chi usa il browser per l’accesso a servizi bancari o SaaS, il punto critico non è più solo la macchina infetta, ma la sessione attiva che può restare valida anche dopo il reset della password.
Il gruppo aggira i controlli normali del browser e inserisce l’estensione senza passare dall’approvazione dell’utente. Una volta dentro, l’estensione può leggere ciò che viene digitato e catturare i session token che tengono l’account autenticato. In pratica, il browser diventa sia il punto di ingresso sia il canale di furto.
Per i team che difendono ambienti finanziari, il rischio trasferibile è la persistenza a livello di sessione: cambiare password non basta se il token è già stato rubato. La campagna resta quindi un problema di accesso browser-based, non solo di pulizia dell’endpoint.
3 fonti che coprono questa storia
Malware bypasses browser checks to force install Chrome, Edge extensions
A banking malware operation active since mid-2025 has been using a toolkit named KREMLIN to install malicious Chrome and Edge extensions that steal credentials, session tokens, and sensitive data.
KREMLIN Banking Malware Hijacks Chrome and Edge to Steal Credentials and Session Tokens
KREMLIN targets Brazilian bank users with malicious Chrome and Edge extensions that steal credentials, session tokens, cookies, and browser data.
Malicious browser extension: inside KREMLIN banking malware
Elastic Security Labs analyzes a malicious browser extension that forges Chromium's integrity checks and pulls its C2 from Ethereum smart contracts.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-09-17