Security researchers z Elastic Security Labs ujawnili nową kampanię złośliwego oprogramowania, która atakuje użytkowników przeglądarek Chrome i Edge, a jej celem jest kradzież danych uwierzytelniających oraz tokenów sesyjnych. Operacja, oznaczona jako REF9334, działa od co najmniej maja 2025 roku i przede wszystkim koncentruje się na użytkownikach z Brazylii. Choć kampania została nazwana „Kremlin”, nie ma ona żadnego związku z Rosją.
Jak działa atak
Mechanizm infekcji opiera się na socjotechnice. Ofiary są zwodzone fałszywymi dokumentami związanymi z bankowością, fakturami lub działalnością firmową, które mają skłonić je do uruchomienia szkodliwego pliku. W efekcie na komputerze instalowany jest komponent, który potrafi dołożyć do przeglądarki Chrome lub Edge złośliwe rozszerzenie.
To właśnie przez przeglądarkę malware przejmuje najważniejsze informacje. Potrafi wykraść loginy, pliki cookie, dane sesyjne, a także monitorować aktywność użytkownika, robić zrzuty ekranu i zbierać informacje z odwiedzanych stron. W praktyce daje to napastnikom szeroki wgląd w to, co robi ofiara online.
To kolejny przykład, jak bardzo atakujący wykorzystują zaufanie do codziennych narzędzi. Przeglądarka jest dziś jednym z najcenniejszych celów, bo przechowuje dostęp do usług prywatnych i firmowych. Dlatego nawet zwykłe rozszerzenie może stać się poważnym zagrożeniem.
Warto zwracać uwagę nie tylko na same pliki, ale też na to, co dzieje się po ich uruchomieniu. Dla użytkownika instalacja dodatku może wyglądać niegroźnie, lecz dla przestępców bywa to idealny moment na przejęcie sesji. To właśnie dlatego edukacja i czujność są tak ważne.
Jeśli coś wymaga instalacji „dodatkowego składnika”, dobrze jest to dwa razy zweryfikować. Najbezpieczniejsze kampanie bezpieczeństwa zaczynają się od odruchu: nie ufaj odruchowo, sprawdź najpierw. Taka zasada często oszczędza wiele problemów.
Udawane zabezpieczenie i trudniejsza detekcja
Badacze zwrócili uwagę, że malware stara się wyglądać na legalny element środowiska. Po instalacji może pojawić się rozszerzenie o nazwie „AVSync System Inc.”, co ma sugerować, że użytkownik ma do czynienia z dodatkiem antywirusowym lub systemowym. To sprytna próba uśpienia czujności i utrzymania się na urządzeniu jak najdłużej.
Złośliwe oprogramowanie nie korzysta też z klasycznej, stałej infrastruktury dowodzenia i kontroli. Zamiast tego część informacji zapisuje w blockchainie Ethereum, co utrudnia blokowanie komunikacji między operatorami a zainfekowanymi komputerami. Takie podejście sprawia, że wykrycie i neutralizacja kampanii stają się znacznie trudniejsze.
Przechowywanie haseł w przeglądarkach – oto, jak zrobić to bezpieczniej według ekspertów. To dobry punkt wyjścia, jeśli chcesz ograniczyć ryzyko związane z zapisywaniem danych logowania w przeglądarce.
Co udało się ustalić badaczom
W trakcie analizy Elastic Security Labs przejęło domenę wykorzystywaną przez kampanię i dzięki temu ustaliło, że doszło do infekcji 1 515 systemów. Aż 98% zainfekowanych urządzeń znajdowało się w Brazylii, co jasno pokazuje, kto był głównym celem atakujących. Badacze zdołali także wskazać domenę kontrolną, a po jej przekierowaniu loader uznał środowisko za sandbox i nie kontynuował działania.
To ważna obserwacja, bo sugeruje, że infekcje nie przeszły dalej niż etap początkowego dostępu. Innymi słowy, zagrożenie było realne i masowe, ale w tym momencie udało się je częściowo zahamować. Nie oznacza to jednak, że problem zniknął.
Dlaczego ten rodzaj malware jest groźny
Ataki wymierzone w przeglądarki są szczególnie niebezpieczne, ponieważ przeglądarka stała się dziś centrum życia cyfrowego. To w niej użytkownicy logują się do banku, poczty, platform firmowych i narzędzi chmurowych. Przejęcie ciasteczek sesyjnych albo tokenów może pozwolić atakującym ominąć nawet niektóre mechanizmy logowania wieloskładnikowego.
Dodatkowo złośliwe rozszerzenia bywają trudne do zauważenia. Użytkownik może przez długi czas nie mieć pojęcia, że jego aktywność jest śledzona, a dane trafiają do przestępców. Dlatego nawet pozornie drobna infekcja może szybko przerodzić się w poważny incydent bezpieczeństwa.
Jak się chronić
Najważniejszą zasadą pozostaje ostrożność wobec nieoczekiwanych dokumentów i załączników, zwłaszcza jeśli mają skłonić do instalacji dodatkowego oprogramowania. Warto także regularnie sprawdzać rozszerzenia w przeglądarce i usuwać wszystkie, których nie rozpoznajemy lub których pochodzenie budzi wątpliwości. Aktualny program antywirusowy oraz ograniczanie uprawnień aplikacji również mogą pomóc zmniejszyć ryzyko.
Firmy powinny dodatkowo szkolić pracowników z rozpoznawania kampanii phishingowych i sprawdzać ruch sieciowy pod kątem podejrzanych połączeń. W przypadku podejrzenia infekcji trzeba nie tylko zmienić hasła, ale też unieważnić aktywne sesje i tokeny, bo to one często stanowią główny cel tego typu ataków.
Przejęcie danych przez rozszerzenia to straszna sprawa. Dobrze, że badacze z Elastic zrobili coś w tej sprawie, ale obawiam się, że to wcale nie koniec. Bardzo mocno polecam wszystkim regularne sprawdzanie dodatków w przeglądarkach, bo często nawet ja się łapię na to, że instaluję coś, co potem nie działa zgodnie z zamierzeniem. W takich sytuacjach warto mieć oczy szeroko otwarte.
Mimo że to wszystko brzmi poważnie, nie widzę sensu panikowania. Zawsze były zagrożenia i były takie kampanie. Osoby, które nie umieją odróżnić rzeczywistych zagrożeń od zwykłych powiadomień prawdopodobnie nie powinny korzystać z internetu. Wystarczy odrobina zdrowego rozsądku.
Jak dla mnie to absurd, że firmy spędzają lata na rozwijaniu przeglądarek, a nie mogą poradzić sobie z takim prostym problemem, jak malware. Niech w końcu wprowadzą jakieś skuteczne filtry do przeglądarek, które będą w stanie wcześnie wykrywać te złośliwe rozszerzenia.
Ja miałam przykrą sytuację z takim rozszerzeniem. Dodatki, które wyglądają jak antywirusy, w moim przypadku kradły dane. Dlatego teraz bardzo ostrożnie podchodzę do wszystkiego. Fajnie, że ktoś bada te zjawiska, ale i tak najlepsza ochrona to czujność.
Nie rozumiem, dlaczego tak wielką uwagę poświęca się tym atakom w Brazylii. Takie zagrożenia mogą dotyczyć osób z całego świata. Zresztą, czy naprawdę musimy czekać na atak, żeby się zabezpieczyć? Profilaktyka to ponad połowa sukcesu w cyberbezpieczeństwie.
Mnie zastanawia czemu tak skomplikowane i zaawansowane metody używane przez hakerów nie są lepiej rozpoznawane przez antywirusy? Zauważyłem, że dostaję mnóstwo spamowych maili, a profilaktyka jakby nie istniała. Mam nadzieję, że deweloperzy szybko wezmą się za takie problemy.
Bardzo ciekawe, jak te złośliwe rozszerzenia udają legalne oprogramowanie. Szybko się o tym przekonałem, gdy zainstalowałem coś w zaawansowanej wersji. Teraz sprawdzam każdy dodatek przed instalacją. Ciekawe, jak daleko technologicznie są ci cyberprzestępcy. Wydaje się, że są na krok przed nami.