Uma perigosa operação de malware bancário de origem brasileira está contornando as defesas nativas de integridade dos navegadores baseados em Chromium. Batizada de KREMLIN, a ameaça consegue instalar uma extensão maliciosa no Google Chrome e Microsoft Edge sem depender da instalação convencional pela loja de extensões.
A descoberta foi detalhada pelo Elastic Security Labs, que acompanha a operação REF9334 desde 2025. Ao longo de sete campanhas e cerca de 15 meses, os pesquisadores identificaram uma cadeia que combina arquivos JavaScript, Node.js, tarefas agendadas, técnicas de evasão de sandbox, infraestrutura hospedada na internet e até contratos inteligentes da rede Ethereum para controlar os servidores usados pelo malware.
O aspecto mais relevante, porém, está no estágio final: o malware KREMLIN manipula o arquivo Secure Preferences do Chromium e recria os mecanismos criptográficos usados para verificar sua integridade. Dessa forma, o navegador pode carregar uma extensão que não foi aprovada pelo usuário como se ela estivesse corretamente registrada.
Como o malware KREMLIN infecta o sistema e ignora o modo sandbox
A infecção começa com uma técnica bastante conhecida no universo dos trojans bancários: engenharia social por meio de documentos falsos.
Os pesquisadores encontraram arquivos JavaScript que simulam comprovantes, faturas, extratos, documentos de bancos e outros arquivos relacionados a instituições brasileiras. Os nomes fazem referência a serviços e empresas como Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander e Mercado Pago.
Quando o usuário executa o arquivo, o primeiro estágio apresenta uma mensagem falsa de erro, tentando convencê-lo de que o documento não pôde ser aberto. Nos bastidores, entretanto, o script realiza verificações para determinar se está sendo executado em um ambiente de análise.
Entre os mecanismos utilizados estão a contagem de arquivos na área de trabalho e dos processos ativos. Se houver menos de cinco arquivos ou menos de 50 processos, o loader pode interpretar o computador como um sandbox e interromper a execução.
A cadeia também baixa um runtime do Node.js para executar uma segunda etapa. Em seguida, estabelece persistência por meio de uma tarefa agendada do Windows, disfarçada como MicrosoftNodeRuntimeUpdater, que tenta aparentar ser um componente legítimo relacionado ao Node.js.
O uso de contratos inteligentes da Ethereum é outro elemento incomum. Em vez de deixar todos os endereços de comando e controle diretamente gravados no malware, a operação consulta um contrato para descobrir onde estão hospedados os próximos componentes.
Na prática, a blockchain funciona como um dead drop resolver, permitindo que os operadores atualizem a infraestrutura sem precisar modificar imediatamente o malware distribuído às vítimas.
A cadeia ainda emprega técnicas como DLL sideloading, componentes associados ao SentinelOne e mecanismos de evasão contra máquinas virtuais e ferramentas de análise. Em campanhas anteriores relacionadas à mesma operação, os pesquisadores também encontraram PULSAR RAT e, na campanha mais recente, REMCOS RAT.
O bypass do malware KREMLIN nas Preferências Seguras do Chromium
É nesta etapa que o KREMLIN se diferencia de um trojan bancário convencional.
O Chromium mantém determinadas configurações críticas em arquivos de preferências protegidos por mecanismos de integridade. Entre elas estão informações relacionadas às extensões instaladas. O projeto utiliza autenticadores criptográficos, incluindo HMACs e, nas versões mais recentes, hashes protegidos por criptografia fornecida pelo sistema operacional.
O objetivo é impedir que um processo externo simplesmente edite o arquivo de preferências e faça o navegador aceitar uma configuração adulterada.
O KREMLIN, entretanto, tenta reproduzir os próprios mecanismos utilizados pelo navegador.
Antes de modificar o perfil, o instalador espera o Chrome ou Edge ser encerrado. Se o navegador continuar aberto, ele pode aguardar até que o usuário fique inativo por aproximadamente dois minutos e, posteriormente, encerrar o processo. Isso reduz o risco de alterações simultâneas no perfil durante a manipulação.
Depois, o malware recupera informações criptográficas utilizadas pelo navegador. A análise da Elastic mostra que ele acessa a chave OSCrypt armazenada no perfil do Chrome e também inicia uma instância do navegador sob depuração para recuperar a chave mais recente associada ao mecanismo App-Bound.
O processo chega a localizar componentes de chrome.dll ou msedge.dll na memória e utilizar informações internas para obter o material necessário. O malware também extrai uma semente presente no arquivo resources.pak, utilizada pelo Chromium na geração dos valores de integridade.
Com essas informações, o KREMLIN altera o Secure Preferences para registrar a extensão e recalcula os valores necessários.
A modificação inclui entradas como extensions.settings, ativação do modo de desenvolvedor e os dados presentes em protection.macs. O instalador gera tanto os HMACs legados quanto os hashes criptografados utilizados pelas versões mais recentes do Chromium.
Isso é importante porque o ataque não simplesmente desativa a proteção. Ele tenta produzir valores que façam a alteração parecer legítima para o próprio navegador.
O que a extensão falsa AVSync consegue fazer
Depois de instalada, a extensão se apresenta como AVSync System Inc., tentando parecer um componente legítimo.
O código solicita acesso a recursos como abas, cookies, armazenamento e webRequest. A partir daí, a ameaça pode atuar diretamente dentro das páginas visitadas pelo usuário.
Entre as funções identificadas estão:
- roubo de cookies e dados de armazenamento;
- coleta de abas abertas e histórico;
- captura de telas;
- extração do código HTML das páginas;
- keylogging em campos de entrada, incluindo formulários;
- interceptação de requisições HTTP;
- alteração ou redirecionamento de páginas;
- comunicação persistente com o servidor de comando e controle.
O componente de keylogging pode monitorar elementos <input> e <textarea> e capturar aquilo que o usuário digita. Em um cenário bancário, isso cria um risco direto para credenciais, informações financeiras e dados de autenticação.
Outro ponto preocupante é o roubo de sessões. A extensão consegue acessar cookies e outros dados armazenados pelo navegador, permitindo que o atacante tente reutilizar informações de sessão em determinadas circunstâncias.
Assim, o objetivo não é apenas descobrir uma senha. A operação busca obter sessões autenticadas e informações armazenadas no navegador, ampliando o potencial de fraude.
Por que a operação KREMLIN está concentrada no Brasil
A investigação da Elastic encontrou fortes evidências de que as campanhas são direcionadas principalmente a usuários brasileiros.
Os arquivos maliciosos usam nomes em português, imitam documentos financeiros e fazem referência repetidamente a bancos e serviços de pagamento brasileiros. A infraestrutura analisada também apresenta comentários de código em português.
A Elastic acompanha a operação desde pelo menos maio e junho de 2025, identificando sete campanhas diferentes. A infraestrutura foi sendo modificada ao longo do tempo, enquanto a cadeia evoluiu de combinações envolvendo PowerShell, RunPE e PULSAR para o uso de Node.js, Ethereum, DLL sideloading e o instalador de extensões associado ao KREMLIN.
Os pesquisadores também analisaram as transações da carteira Ethereum utilizada pela operação. Os horários das movimentações são compatíveis com uma atividade concentrada no fuso de São Paulo, embora a própria Elastic trate isso como uma evidência de apoio e não como uma prova definitiva da localização dos operadores.
O dado mais expressivo veio da análise do chamado network canary. A Elastic registrou o domínio que o malware utilizava para verificar se estava sendo executado em um ambiente controlado. Com o domínio sob controle dos pesquisadores, sistemas infectados passaram a responder à verificação.
Até o momento da publicação da pesquisa, foram observados 1.515 sistemas infectados tentando acessar o domínio, sendo 98,75% deles no Brasil.
Como a Elastic neutralizou parte da cadeia de ataque
A estratégia adotada pela Elastic é particularmente interessante porque aproveitou uma característica do próprio mecanismo de evasão do malware.
O KREMLIN verifica um domínio que deveria permanecer sem resposta. Em condições normais, a ausência de conteúdo indica ao malware que ele está em um computador real. Se o domínio responder, a ameaça interpreta a situação como uma possível simulação de rede utilizada por pesquisadores e interrompe a execução.
A Elastic então registrou o domínio do canário de rede e passou a responder às requisições. Os sistemas infectados começaram a realizar solicitações HTTP ao domínio controlado pelos pesquisadores.
Como consequência, o malware passou a considerar essas máquinas como ambientes de análise e interromper a própria execução.
Essa medida não remove o KREMLIN dos computadores afetados. Ela funciona como uma forma temporária de degradar a cadeia de ataque e ganhar tempo para identificação e resposta.
A descoberta também demonstra como técnicas criadas para dificultar a análise de malware podem ser utilizadas contra os próprios operadores. Ao transformar o mecanismo anti-sandbox em um ponto de controle, os pesquisadores conseguiram observar parte significativa da infecção.
O que o malware KREMLIN revela sobre as novas ameaças bancárias
O caso KREMLIN mostra uma evolução importante nos trojans bancários direcionados ao Brasil.
O diferencial não está apenas na capacidade de roubar informações, mas na tentativa de integrar o malware à lógica interna do navegador. Em vez de simplesmente instalar uma extensão pelo caminho convencional, a ameaça modifica o perfil do Chromium e recria os dados criptográficos necessários para que a adulteração passe pelas verificações de integridade.
Isso torna a ameaça especialmente relevante para administradores de sistemas, equipes de segurança e usuários que mantêm informações financeiras no navegador.
Para o usuário comum, o primeiro sinal pode ser difícil de perceber. Uma extensão maliciosa pode permanecer aparentemente funcional enquanto coleta informações em segundo plano.
Por isso, vale revisar periodicamente a lista de extensões instaladas no Chrome e Edge, remover componentes desconhecidos, evitar a execução de arquivos JavaScript recebidos como supostos comprovantes ou documentos e manter o navegador, o Windows e as soluções de segurança atualizados.
Em ambientes corporativos, administradores devem complementar essas medidas com políticas de controle de extensões, monitoramento de alterações nos perfis dos navegadores, detecção de tarefas agendadas suspeitas e análise de indicadores de comprometimento.
O caso também reforça uma lição importante: mecanismos como o Secure Preferences aumentam a proteção do navegador, mas uma ameaça com execução privilegiada ou capacidade suficiente de interagir com os componentes internos pode tentar reproduzir os mesmos mecanismos de confiança.
O malware KREMLIN representa, portanto, um exemplo de como o ecossistema de trojans bancários brasileiros está incorporando técnicas mais sofisticadas de evasão, persistência e abuso de navegadores. Para os usuários, a recomendação continua simples, mas cada vez mais importante: não execute arquivos inesperados, desconfie de documentos enviados por canais não confiáveis, revise as extensões instaladas e mantenha as ferramentas de segurança atualizadas.
