// TOM'S HARDWARE ITALIA — CYBERSECURITY
Un nuovo malware ruba password e sessioni su Chrome ed Edge: come funziona?
I ricercatori di Elastic hanno documentato una campagna che distribuisce KREMLIN, un malware utilizzato per rubare credenziali e token di sessione attraverso un'estensione malevola per Chrome ed Edge. L'attacco porta quindi il furto direttamente nel browser, dove vengono gestiti gli accessi ai servizi online. L'analisi ha inoltre permesso ai ricercatori di intervenire su un dominio usato dal malware, ostacolando la prosecuzione delle infezioni.
La campagna, identificata come REF9334, è attiva almeno da maggio 2025 e sfrutta falsi documenti bancari, fatture e materiali aziendali per indurre le vittime a installare il codice dannoso. Il documento serve da esca per avviare la catena d'infezione, che prosegue con l'installazione dell'estensione. L'inganno punta sulla fiducia nel contenuto scaricato, un meccanismo presente anche nei falsi download di Claude Opus 5 usati per sottrarre password e wallet.
Prima di procedere, il malware controlla se si trova in una sandbox, ossia un ambiente isolato utilizzato per analizzare programmi sospetti. Se riconosce questo contesto, interrompe l'esecuzione. Il controllo serve a nascondere il comportamento dannoso agli strumenti di analisi: la distribuzione dell'estensione scatta quando il sistema viene invece riconosciuto come il computer di un utente reale.
L'estensione viene presentata con il nome AVSync System Inc., scelto per farla apparire come un componente antivirus del browser. Il travestimento accompagna così il tentativo di mantenere una presenza sul dispositivo senza attirare l'attenzione della vittima. Dietro l'apparenza di uno strumento di protezione si trova il componente impiegato per il furto delle credenziali e delle sessioni.
La campagna utilizza anche la blockchain Ethereum per conservare le informazioni necessarie a individuare l'infrastruttura di comando e controllo. Il malware non dipende quindi da un unico indirizzo fisso del server C2. Questo sistema rende più difficile interrompere il collegamento fra gli operatori e le macchine infette intervenendo soltanto sull'indirizzo di un server.
Durante l'indagine, Elastic ha ottenuto il controllo di un dominio utilizzato dal malware e ha individuato 1.515 sistemi infetti. Il 98% si trovava in Brasile, una concentrazione geografica che emerge nettamente dai dispositivi osservati attraverso quel dominio. Il dato descrive il perimetro rilevato nell'indagine, senza stabilire necessariamente la dimensione complessiva della campagna.
I ricercatori hanno inoltre registrato il dominio network canary impiegato dal loader e lo hanno indirizzato verso un proprio server web. La modifica ha fatto credere al programma di trovarsi in una sandbox, attivando proprio il controllo con cui cercava di sottrarsi all'analisi. Nell'intervento descritto da Elastic, le infezioni si sono così fermate alla fase di accesso iniziale.
Aggiungi Tom's Hardware alle tue fonti preferite su Google