Bankmalware KREMLIN kaapt Chrome en Edge via Ethereum-C2

Elastic Security Labs heeft een tot nu toe ongedocumenteerde Braziliaanse bankmalware-operatie blootgelegd die een toolkit genaamd KREMLIN inzet. De activiteit, gevolgd onder de naam REF9334, is actief sinds ten minste mei 2025 en gebruikt lokaas dat zich voordoet als een dozijn Braziliaanse banken om een kwaadaardige browserextensie op Chrome en Edge te installeren.

De extensie, die zich voordoet als "AVSync System Inc" met versienummer 1.0.0 en ID ndpbidppejfanjbhfgjlohfanbfbklff, omzeilt Chromium-integriteitscontroles door het Secure Preferences bestand te manipuleren, de ontwikkelaarsmodus in te schakelen en de HMAC-metadata in het protection.macs-object te vervalsen. Een multi-stage loader controleert eerst op sandboxes en virtuele machines, waarna een tweede stage persistentie opzet via een geplande taak en downloadlocaties ophaalt uit een Ethereum smart contract dat dient als dead drop resolver voor de C2-domeinen volmira.site en zaviro.online.

De malware stopt zichzelf als het systeem niet minstens 2 CPU's en meer dan 3 GB RAM heeft, of als bekende analyseprocessen draaien.

Dezelfde techniek voor het omzeilen van Secure Preferences, aangeduid als Phantom Extension en GhostChrome-X, dook eind augustus 2026 ook op bij de aan China gelinkte groep APT31, die met de BlueMoon exploit kit en inmiddels gepatchte Chrome- en Windows-zerodays de extensie GemStone installeerde. De overstap van KREMLIN naar Ethereum smart contracts vond plaats op 19 mei 2026, en de groep wordt sindsdien gekoppeld aan zeven afzonderlijke campagnes sinds 16 juni 2025.

Als anti-sandboxmaatregel voert de malware een netwerkcontrole uit op een ongeregistreerd domein: krijgt hij een geldige reactie, dan crasht hij bewust omdat dit op een gesimuleerde sandboxomgeving wijst. Elastic registreerde dit domein zelf en telde 1.515 geïnfecteerde systemen die er contact mee zochten, waarvan meer dan 98 procent in Brazilië staat. Meer details staan op de pagina van The Hacker News.