Una nueva amenaza pone en jaque la integridad de los navegadores corporativos
Recientes investigaciones de Elastic Security Labs han revelado una sofisticada operación de malware bancario, activa desde mediados de 2025, que utiliza un kit de herramientas denominado KREMLIN. Este malware tiene como objetivo principal la instalación forzosa de extensiones maliciosas en los navegadores Google Chrome y Microsoft Edge, logrando evadir los mecanismos de verificación de integridad de Chromium.
¿Cómo opera el kit de herramientas KREMLIN?
A diferencia de otras amenazas que intentan engañar al usuario para que instale un complemento, KREMLIN actúa de forma silenciosa y técnica. El proceso de infección suele comenzar con un archivo JavaScript malicioso camuflado como un documento legítimo de empresa: una factura, un recibo bancario o un registro de pago.
Una vez que el sistema está comprometido, el malware espera a que el navegador se cierre o fuerza su finalización cuando detecta inactividad. En ese momento, realiza las siguientes acciones técnicas:
- Manipulación de directorios: Copia la extensión maliciosa directamente en las carpetas de perfil de la aplicación.
- Bypass de integridad: Para que el navegador no detecte la alteración, el malware recupera las claves de cifrado que el propio navegador utiliza para proteger los datos sensibles.
- Regeneración de firmas: Recrea los controles de integridad (HMAC y hashes cifrados) en el archivo Secure Preferences de Chromium, haciendo que la extensión parezca haber sido aprobada legítimamente por el usuario.
Capacidades de la extensión maliciosa
La extensión, que suele enmascararse bajo nombres inofensivos como ‘AVSync’, otorga a los atacantes un control casi total sobre la actividad de navegación del empleado, permitiendo:
- Robo de cookies y tokens de sesión (permitiendo el secuestro de cuentas sin necesidad de contraseñas).
- Registro de pulsaciones de teclas (keylogging) en formularios web.
- Captura de pantallas y del código fuente de las páginas visitadas.
- Intercepción de cabeceras HTTP y redirección de clics a sitios controlados por los atacantes.
Impacto empresarial y recomendaciones
Aunque esta campaña específica ha tenido un fuerte impacto en Brasil, la técnica de manipulación de preferencias de Chromium es una vulnerabilidad documentada que cualquier actor de amenazas global podría explotar. Para las organizaciones, esto representa un riesgo crítico de fuga de información financiera y credenciales de acceso a plataformas SaaS.
Desde Intedya, recomendamos reforzar las siguientes capas de seguridad:
- Formación en Ingeniería Social: Instruir al personal sobre los peligros de ejecutar archivos JavaScript (.js) o scripts recibidos por correo electrónico, incluso si parecen documentos adjuntos.
- Implementación de EDR/XDR: Utilizar soluciones de detección y respuesta en los puntos finales que puedan identificar comportamientos anómalos, como la modificación de archivos de configuración del navegador por procesos no autorizados.
- Políticas de Grupo (GPO): Restringir la instalación de extensiones de navegador mediante listas blancas corporativas y bloquear el modo desarrollador en entornos no técnicos.
La ciberseguridad no es un estado estático, sino un proceso de vigilancia continua. Mantenerse informado sobre estas tácticas avanzadas es el primer paso para proteger los activos digitales de su organización.
Fuentes
- Bleeping Computer — Malware bypasses browser checks to force install Chrome, Edge extensions
https://www.bleepingcomputer.com/news/security/malware-bypasses-browser-checks-to-force-install-chrome-edge-extensions/