Вредоносное ПО KREMLIN, активное с середины 2025 года, обходит проверки целостности браузеров Chrome и Edge для скрытной установки расширений. По данным Elastic Security Labs, заражение обычно начинается с открытия JavaScript-файлов, замаскированных под банковские квитанции, счета или иные деловые документы.
После прохождения антипесочных проверок программа загружает Node.js и закрепляется в системе через планировщик задач. Адреса для загрузки компонентов вредонос получает из смарт-контрактов Ethereum. Группировка из Бразилии, стоящая за KREMLIN, с мая 2025 года провела не менее 7 атак, имитируя 12 банков.
KREMLIN принудительно устанавливает расширения, завершая процессы браузера или дожидаясь его простоя. Вредонос включает режим разработчика и вносит изменения в файл Secure Preferences. Используя ключи шифрования браузера, он перестраивает механизмы проверки целостности, скрывая факт несанкционированной установки.
Расширение под видом программы AVSync перехватывает скриншоты, исходный код страниц, историю просмотров и содержимое HTTP-запросов. Оно позволяет злоумышленникам внедрять HTML-код и перенаправлять клики пользователей. Исследователи Elastic Security Labs смогли нарушить работу сети, зарегистрировав домены, используемые вредоносом как «зонды».
