Malware instala extensões no Chrome sem alertar utilizadores

Uma campanha de malware tira partido de tácticas engenhosas para instalar secretamente extensões no Chrome sem o utilizador se aperceber.

Investigadores de segurança descobriram uma campanha de malware bancário que está activa desde 2025 e utiliza uma ferramenta conhecida como KREMLIN para instalar extensões maliciosas no Google Chrome e Microsoft Edge. Com isso, os atacantes conseguem roubar credenciais, cookies, tokens de sessão, e outros dados sensíveis, contornando os mecanismos de protecção dos browsers baseados em Chromium.

A infecção começa através do envio de ficheiros JavaScript maliciosos disfarçados de facturas, comprovativos bancários, ou documentos empresariais. Depois de verificar que não está a ser executado num ambiente de análise, o malware descarrega componentes adicionais, estabelece persistência no sistema, e obtém instruções através de contratos inteligentes alojados na blockchain Ethereum. Apesar do nome do toolkkit aludir à Rússia, a operação está associada a um grupo criminoso que tem como principal alvo utilizadores no Brasil.

O aspecto mais invulgar do KREMLIN é a capacidade de instalar extensões no Chrome e Edge sem qualquer confirmação do utilizador. O malware copia directamente os ficheiros para os perfis do browser, activa o modo de programador, e altera ficheiros internos protegidos. Para evitar ser detectado, recria os mecanismos criptográficos de integridade utilizados pelo Chromium, fazendo com que as extensões pareçam legítimas.

Depois de instalada, a extensão maliciosa pode registar tudo o que é escrito pelo utilizador, fazer capturas de ecrã, recolher cookies e histórico de navegação, interceptar pedidos web, e modificar conteúdos de páginas visitadas. Os investigadores identificaram mais de 1.500 sistemas comprometidos e conseguiram interromper a campanha ao assumir o controlo de um domínio utilizado pelo malware para determinar se está num ambiente de teste, fazendo com que o processo não avance.