Warum zielt die russische Bank-Malware KREMLIN mit einer raffinierten Piraten-Erweiterung auf Chrome-Nutzer ab?

Die Malware KREMLIN, russischen Ursprungs, hat kürzlich Schlagzeilen gemacht, weil sie in der Lage ist, die Sitzungen von Chrome- und Edge-Nutzern zu kapern. Indem sie die Sicherheitsmechanismen von Chromium umgeht, installiert diese bösartige Software eine Piraten-Erweiterung, die Cookies, Passwörter und Sitzungstoken stiehlt. Die Details dieser Bedrohung und ihre Auswirkungen auf die Cybersicherheit werden unten untersucht.

Wichtige Punkte

• KREMLIN verwendet eine Piraten-Erweiterung, um die Sitzungen von Chrome und Edge zu kapern.
• Die Malware umgeht die Integritätskontrollen von Chromium, um unbemerkt zu bleiben.
• Die KREMLIN-Kampagne hat hauptsächlich Brasilien ins Visier genommen, mit über 1.500 infizierten Systemen.

Sie sitzen vor Ihrem Computer und surfen ruhig im Internet, ohne zu ahnen, dass eine bösartige Software Ihre Bankkonten hacken könnte. Stellen Sie sich vor, eine einfache Browser-Erweiterung, die für Sie unsichtbar ist, könnte Ihre persönlichen Informationen sammeln und Ihre Sitzungen kapern. Genau das tut KREMLIN, eine ausgeklügelte Malware, die Chrome- und Edge-Nutzer ins Visier nimmt. Erfahren Sie, wie diese Bedrohung funktioniert und was Sie tun können, um sich zu schützen.

KREMLIN und der Angriff auf die Browser Chrome und Edge

Die Malware KREMLIN infiltriert Systeme über eine trügerische JavaScript-Datei, die oft als Bankbeleg oder Rechnung getarnt ist. Wenn diese Datei geöffnet wird, löst sie eine komplexe Infektionskette aus, die zur Installation einer Piraten-Erweiterung führt. Diese Erweiterung wird direkt in die Chrome- und Edge-Profile installiert, ohne den Chrome Web Store zu durchlaufen, und entgeht so den üblichen Integritätskontrollen.

Um keine Warnungen auszulösen, regeneriert KREMLIN die kryptografischen Hashes, die von Chromium zur Überprüfung der Erweiterungen verwendet werden. Durch die Ausnutzung dieser Schwachstellen gelingt es ihm, für Benutzer und Sicherheitssysteme unentdeckt zu bleiben. Sobald sie aktiv ist, verbindet sich die Erweiterung mit einem Command-and-Control-Server und erhält jede Sekunde Anweisungen, um wichtige Informationen zu stehlen.

Die Taktiken von KREMLIN zum Datendiebstahl

Sobald installiert, stellt die Piraten-Erweiterung von KREMLIN eine Verbindung zu einem Command-and-Control-Server über einen WebSocket-Kanal her. Sie kann dann verschiedene Aktionen ausführen, wie z.B. Screenshots aufnehmen, geöffnete Tabs auflisten, Cookies stehlen oder HTML-Code in besuchte Seiten injizieren.

Die von KREMLIN verwendeten Köder ahmen bekannte brasilianische Bankoberflächen nach, und die Fehlermeldungen sind auf Portugiesisch verfasst, was auf eine besondere Fokussierung auf das Ziel Brasilien hinweist. Tatsächlich befinden sich die meisten infizierten Systeme in diesem Land, mit koordinierten Angriffen während der Bürozeiten von São Paulo.

Elastic Security Labs und der Kampf gegen KREMLIN

Elastic Security Labs, das die Entwicklung von KREMLIN über fünfzehn Monate hinweg verfolgt hat, hat Maßnahmen ergriffen, um die Kampagne zu verlangsamen. Durch die Registrierung einer Domain, die KREMLIN abfragt, bevor es seine Ausführung fortsetzt, konnten sie die Malware stören. Diese Domain simuliert durch das Zurückgeben einer gültigen Antwort eine Analyseumgebung, was KREMLIN dazu veranlasst, seine Ausführung zu unterbrechen.

Die Forscher von Elastic empfehlen den Nutzern, ihre Erweiterungen regelmäßig zu überprüfen und den Entwicklermodus in Chrome zu deaktivieren, um diese Bedrohungen zu erkennen. Wachsamkeit bleibt entscheidend, um zu verhindern, dass solche Angriffe die Sicherheit der Nutzer gefährden.

Die Auswirkungen von KREMLIN auf die Online-Banksicherheit

Der Diebstahl von Cookies und Sitzungstoken durch Malware wie KREMLIN stellt eine große Herausforderung für die Online-Banksicherheit dar. Diese Art von Angriff ermöglicht es Cyberkriminellen, auf Konten zuzugreifen, ohne eine erneute Authentifizierung zu benötigen, selbst nachdem das Opfer seinen Browser geschlossen hat.

Finanzinstitute müssen ihre Sicherheitsprotokolle verstärken, um solchen Bedrohungen entgegenzuwirken, insbesondere durch die Verbesserung der Authentifizierungsmethoden und die genaue Überwachung der von ihren Kunden verwendeten Browser-Erweiterungen.

FAQ

Wie schafft es KREMLIN, eine Erweiterung unbemerkt zu installieren?

KREMLIN verwendet eine ausgeklügelte Technik, um die kryptografischen Hashes zu regenerieren, die von Chromium zur Überprüfung der Erweiterungen verwendet werden, und umgeht so die üblichen Sicherheitskontrollen.

Welche Browser sind von KREMLIN betroffen?

KREMLIN zielt hauptsächlich auf die Browser Chrome und Edge ab, indem es eine Erweiterung direkt in deren Profile installiert.

Welche Länder sind am stärksten von KREMLIN betroffen?

Brasilien ist das am stärksten von KREMLIN betroffene Land, mit über 1.500 infizierten Systemen, laut Elastic Security Labs.

Was können Nutzer tun, um sich vor KREMLIN zu schützen?

Nutzer sollten regelmäßig ihre Browser-Erweiterungen überprüfen, den Entwicklermodus in Chrome deaktivieren, wenn er nicht benötigt wird, und bei den Dateien, die sie öffnen, wachsam bleiben.