Una nueva amenaza informática bautizada como KREMLIN está circulando activamente y aprovecha documentos financieros falsos para infiltrarse en los equipos. Una vez dentro, es capaz de colocar extensiones dañinas en Google Chrome sin que el usuario perciba nada anómalo.
Los investigadores de seguridad detectaron esta campaña maliciosa que, según las primeras evidencias, tuvo su origen en Brasil y posteriormente se expandió hacia otras naciones.
Los ciberdelincuentes emplean archivos que simulan ser recibos, comprobantes o comunicaciones de entidades bancarias. Sin embargo, en su interior contienen código JavaScript que desencadena la infección en cuanto la víctima interactúa con el documento.
Lo que hace especialmente peligroso a KREMLIN es su capacidad para ocultar gran parte de su actividad. Una vez instalado, puede modificar el navegador para introducir extensiones que recopilan información de las sesiones y de los sitios web que visita la persona afectada.
El mecanismo de infección
KREMLIN no se comporta como un programa común de Windows. Su proceso está diseñado para evitar los controles de seguridad y dificultar que el usuario note cambios en el navegador.
Una de sus tácticas consiste en monitorear el estado de Google Chrome y otros navegadores basados en Chromium, como Microsoft Edge. El malware puede detectar cuándo se cierra el navegador y también forzar la finalización de ciertos procesos si permanecen abiertos pero sin actividad durante un tiempo.
Cuando las condiciones son las adecuadas, copia las extensiones maliciosas en las carpetas del perfil del navegador. Luego altera configuraciones específicas para que Chrome las ejecute empleando el modo de desarrollador.
Este método permite que las extensiones queden instaladas sin que aparezcan como una descarga convencional realizada por el usuario, lo que dificulta su detección.
Además, KREMLIN incorpora mecanismos para ocultar sus modificaciones y eludir las comprobaciones de integridad del navegador, lo que complica tanto la detección manual como la identificación mediante revisiones habituales.
Datos en riesgo: qué puede robar KREMLIN
El mayor peligro radica en la cantidad de información que las extensiones maliciosas pueden extraer una vez instaladas.
Según los reportes de Elastic Security Labs sobre esta amenaza, KREMLIN puede acceder a las cookies almacenadas en Chrome, además de datos guardados temporalmente durante las sesiones mediante SessionStorage y datos persistentes mediante LocalStorage.
Estos elementos pueden revelar información sobre las sesiones activas en diferentes sitios web y, en ciertos casos, facilitar el acceso no autorizado a servicios si no se cuenta con medidas de seguridad adicionales.
El malware también tiene la capacidad de capturar los datos que una persona introduce en formularios de internet, incluyendo contraseñas y otra información sensible ingresada en páginas web.
Sus capacidades no se detienen ahí. KREMLIN puede tomar capturas de pantalla, modificar el comportamiento de ciertos clics y alterar el contenido HTML de las páginas visitadas.
Estas funciones pueden emplearse para mostrar información falsa, redirigir a la víctima hacia sitios específicos o manipular una página legítima con el fin de facilitar nuevos engaños.
La puerta de entrada: documentos bancarios falsos
Las campañas vinculadas a KREMLIN recurren a la suplantación de entidades financieras. Los delincuentes envían documentos que aparentan ser de bancos y que están relacionados con pagos, facturas o movimientos comerciales.
El objetivo es lograr que la víctima abra o ejecute el archivo sin sospechar que contiene código malicioso.
Esta estrategia se basa en la ingeniería social: en lugar de depender únicamente de una vulnerabilidad técnica, el atacante intenta convencer al usuario de que el archivo es legítimo.
El uso de documentos vinculados a operaciones bancarias aumenta el riesgo, ya que estos mensajes suelen parecer comunicaciones urgentes o importantes.
Medidas de protección
Ante este tipo de campañas, se recomienda no abrir archivos inesperados recibidos por correo electrónico o mensajería, incluso si parecen provenir de un banco conocido.
Si existe alguna duda sobre una factura, pago o comunicación bancaria, lo más seguro es verificarla directamente desde la aplicación o página oficial de la entidad y utilizar sus canales de atención para confirmar el mensaje.
También es importante mantener actualizado el navegador, el sistema operativo y las herramientas de seguridad, además de revisar periódicamente las extensiones instaladas en Chrome.
La aparición de KREMLIN demuestra que los ataques no siempre requieren que el usuario descargue conscientemente un programa identificado como malware. Un documento aparentemente legítimo puede convertirse en la puerta de entrada para modificar el navegador y acceder posteriormente a información almacenada durante la navegación.
Fuente: Infobae