// CLUBIC — CYBERSECURITY
Ce malware bancaire russe détourne Chrome pour voler vos sessions
Le logiciel malveillant KREMLIN installe une extension pirate sur Chrome et Edge en contournant les contrôles d'intégrité de Chromium, puis aspire cookies, mots de passe et jetons de session.
Un fichier JavaScript imite un reçu bancaire ou une facture. Une fois exécuté par la victime, ce document déclenche la chaîne d'infection de KREMLIN. Le chargeur vérifie d'abord qu'il ne s'exécute pas dans un environnement d'analyse, télécharge ensuite l'environnement Node.js, puis installe un programme écrit en C++. Ce programme charge sa charge utile principale via un binaire signé de l'éditeur de sécurité SentinelOne. La dernière étape installe une extension directement dans les profils Chrome et Edge de la victime, en évitant le Chrome Web Store.
Pour installer cette extension sans déclencher d'alerte, KREMLIN régénère les hachages cryptographiques que Chromium utilise pour vérifier qu'aucune extension n'a été ajoutée sans l'accord de l'utilisateur. REF9334 a été découverte et suivie par Elastic Security Labs, sur quinze mois et sept campagnes.
Pour activer l'extension, KREMLIN attend d'abord que Chrome soit inactif pendant au moins deux minutes, puis force la fermeture du navigateur si nécessaire. Le programme relance ensuite Chrome sous un débogueur, le temps d'extraire de sa mémoire une clé de chiffrement liée à l'application, puis combine cette clé à une graine récupérée dans les fichiers d'installation du navigateur pour régénérer les hachages que le fichier Secure Preferences de Chrome utilise pour valider une extension sans l'intervention de l'utilisateur. Le mois dernier, le groupe chinois APT31 a exploité le même contournement d'intégrité pour installer une extension espionne, avec un kit truffé de failles zero-day, aujourd'hui corrigées, dans Chrome et Windows.
Une fois active, l'extension de KREMLIN se connecte au serveur de commande par un canal WebSocket et l'interroge toutes les secondes pour recevoir une instruction. Le serveur ordonne une capture d'écran de l'onglet actif, l'énumération des onglets ouverts, le vol des cookies et du stockage local du navigateur, ou l'extraction complète du code source d'une page. Une autre commande injecte dans les pages visitées du code HTML fourni par l'attaquant. En parallèle, l'extension interroge un second point de terminaison déguisé en requêtes de fichiers CSS. Chaque chemin correspond à une fonction précise. L'un télécharge les identifiants d'onglets, un autre l'historique de navigation des quinze derniers jours, un troisième les règles d'interception qui ciblent des formulaires spécifiques, par exemple une page de paiement.
Les leurres de KREMLIN imitent une douzaine de banques brésiliennes, de Banco do Brasil à Santander en passant par PicPay et Mercado Pago, et les messages d'erreur affichés aux victimes ainsi que les commentaires laissés dans le code sont rédigés en portugais. Malgré son pseudo Kr3mlin4rt1st, l'auteur du programme n'a toutefois aucun lien établi avec la Russie. Un portefeuille Ethereum associé au déploiement de la configuration de KREMLIN a enregistré 82 transferts entre juin 2025 et août 2026. Selon Elastic Security Labs, l'horaire de ces transactions correspond aux heures de bureau à São Paulo.
Pour ralentir la campagne, Elastic Security Labs a enregistré un domaine que KREMLIN interroge avant de poursuivre son exécution, car ce domaine ne doit renvoyer aucun contenu. Une réponse valide signale un environnement d'analyse capable de simuler une connexion réseau, et KREMLIN interrompt alors son exécution par précaution. Plus de 1 500 systèmes infectés ont depuis tenté de se connecter à ce domaine. Selon Elastic Security Labs, 98,75 % d'entre eux sont localisés au Brésil, ce qui confirme la portée régionale de la campagne.
En volant cookies et jetons de session, un attaquant peut réutiliser une connexion déjà active sans redemander de mot de passe ni de double authentification, même après la fermeture du navigateur par la victime.
Les chercheurs recom