Una operación de malware bancario, activa desde mediados de 2025, ha estado utilizando un conjunto de herramientas denominado KREMLIN para instalar extensiones maliciosas en Chrome y Edge que roban credenciales, tokens de sesión y datos confidenciales.
Investigadores de Elastic Security Labs descubrieron que estas extensiones maliciosas eluden los mecanismos de integridad de Chromium y se cargan en los navegadores como si hubieran sido aprobadas por el usuario.
La cadena de infección comienza cuando el usuario objetivo abre un archivo JavaScript disfrazado de recibo bancario, factura, registro de pago o documento empresarial.
Tras superar las comprobaciones de seguridad para detectar entornos de pruebas (sandboxes), el archivo provoca un error falso mientras descarga simultáneamente Node.js, establece persistencia mediante una tarea programada y obtiene la ubicación de la carga útil adicional a partir de un contrato inteligente de Ethereum.
A pesar de su nombre, KREMLIN está vinculado a una operación brasileña responsable de al menos siete campañas desde mayo de 2025, las cuales utilizan señuelos que suplantan la identidad de 12 bancos.
El Foro Económico Mundial sostiene que la IA podría reemplazar a los programadores antes que a los camioneros debido a que los datos de entrenamiento son más ac...
Leer artículo →La campaña de robo de credenciales FortiBleed, que ha comprometido más de 430.000 firewalls FortiGate en todo el mundo, alimenta directamente dos operaciones ac...
Leer artículo →La campaña del 12 al 26 de junio utilizó contraseñas antiguas comprometidas y el flujo ROPC OAuth obsoleto. En muchos casos, la autenticación multifactor (MFA)...
Leer artículo →