С мая 2025 года действует операция REF9334, нацеленная на клиентов бразильских банков. За пятнадцать месяцев её участники провели семь кампаний, а используемый ими набор инструментов получил название KREMLIN. После того как исследовательская команда Threat Command зарегистрировала домен, который раньше служил лишь проверкой на изолированную среду, обращения на него пошли с 1515 заражённых машин. Почти 99% из них находятся в Бразилии. Число обращений росло быстро, что говорит о ранней стадии развития кампании.
Описание
Атака начинается с файла JavaScript (сценария, который выполняется прямо на компьютере пользователя), замаскированного под банковскую квитанцию, выписку или подтверждение перевода через систему PIX. Человек запускает его сам. Скрипт показывает поддельное сообщение об ошибке, будто документ не открылся, а затем изучает машину: считает файлы на рабочем столе и запущенные процессы. Если их слишком мало, заражение останавливается - так программа пытается распознать изолированную среду для анализа. В остальных случаях она загружает среду выполнения Node.js (платформу для запуска сценариев вне браузера) и передаёт управление следующему этапу. Настройки - адреса управляющих серверов и места хранения вредоносных модулей - операторы держат в смарт-контрактах сети Ethereum. Это записи в распределённом реестре, которые можно менять в любой момент, поэтому блокировать инфраструктуру обычными методами трудно.
Основной компонент атаки - вредоносное расширение для Chrome и Edge. Исследование Elastic Security Labs показало, что оно попадает в браузер без ведома пользователя: программа копирует свои файлы в профиль и вручную правит служебный файл настроек. Система защиты Chromium проверяет целостность таких записей криптографическими подписями. Чтобы обойти проверку, вредоносный код извлекает ключи из памяти браузера и формирует подписи заново. Браузер принимает расширение как одобренное самим пользователем. Перед установкой программа ждёт, пока браузер закроется или человек не будет активен две минуты, а иначе завершает процесс принудительно.
Расширение выдаёт себя за программу AVSync и просит доступ к вкладкам, куки (небольшим служебным файлам, которые сайты сохраняют в браузере), хранилищу и сетевым запросам. Оно делает снимки экрана, собирает список открытых вкладок, читает историю посещений за две недели, выгружает полный исходный код страницы и добавляет на неё подконтрольную злоумышленникам разметку. Отдельная функция перехватывает всё, что человек вводит в формы: логины, пароли, реквизиты платежей. Настроив правила, операторы могут незаметно увести посетителя на другой адрес при клике по выбранному элементу страницы. Собранные данные, включая сохранённые пароли, историю и куки, упаковываются в архив и уходят на управляющий сервер. Сессионные токены (временные ключи доступа к уже открытой сессии) дают возможность войти в банковский кабинет без второго фактора.
Инфраструктура указывает на бразильское происхождение исполнителей. Имена файлов-приманок собраны из португальских слов: квитанция, выписка, платёж, перевод, документ. Они имитируют бумаги двенадцати банков и платёжных сервисов - Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander и Mercado Pago. Сообщения об ошибках и комментарии в коде тоже на португальском, а часть комментариев написана так, как обычно выглядят тексты, сгенерированные языковыми моделями. Анализ операций в сети Ethereum выявил 82 перевода криптовалюты USDT на сумму около 20 778 единиц, причём активность укладывается в рабочие часы Сан-Паулу. Часть полезной нагрузки злоумышленники размещали на публичном архиве интернет-содержимого, а один из этапов запускали через легитимную подписанную программу SentinelOne. В последних кампаниях место прежней программы удалённого доступа PULSAR занял более функциональный REMCOS.
Проверка на изолированную среду обернулась против самих операторов. Домен, который вредоносный код запрашивал для проверки, раньше не был зарегистрирован, и любой ответ означал для него симуляцию сети. После регистрации домена заражённые машины стали обращаться на него, а сам код начал аварийно завершаться. Это временно нарушило защитный механизм кампании и дало защитникам время найти и очистить пострадавшие устройства. При этом расширение на машинах уже установлено, поэтому риск перехвата банковских данных сохраняется.
Пользователю стоит придерживаться нескольких простых правил. Не открывайте файлы, которые приходят по почте или в мессенджере под видом банковских квитанций, даже если отправитель похож на сотрудника банка. Проверьте список расширений в Chrome и Edge и удалите незнакомые. Включите двухфакторную аутентификацию: перехват куки она не отменяет полностью, но заметно сужает возможности злоумышленников. Обновляйте браузер и операционную систему. Банкам стоит следить за доменами, имитирующими их имена, и за нетипичными подключениями от клиентских устройств.
Индикаторы компрометации
