VKSECURITY Um malware brasileiro instala uma extensão fantasma no Chrome e no Edge para assistir tudo
Pesquisadores detalharam uma campanha que atinge o Brasil em 98% dos casos: o malware chega como documento bancário, instala uma extensão que o navegador acha que é legítima e passa a capturar credenciais, cookies, telas e até o conteúdo das páginas visitadas. Quase todas as vítimas caíram executando um arquivo à mão.
Pesquisadores do Elastic Security Labs publicaram a análise de uma família de malware bancário batizada de KREMLIN, e o dado que mais chama atenção é a geografia: de 1.515 sistemas infectados, 98% estão no Brasil. A campanha se apresenta como uma dezena de instituições bancárias brasileiras.
Como chega
O caminho é o de sempre, e por isso funciona: um arquivo disfarçado de documento bancário, fatura ou papel corporativo, que chega por e-mail ou mensagem. A infecção exige que a vítima execute o arquivo à mão — não há exploração de falha, não há invasão. Há convencimento.
A partir daí, o programa instala componentes no computador e parte para o alvo real: o navegador.
A “extensão fantasma”
Esta é a parte tecnicamente mais interessante. Navegadores como Chrome e Edge protegem a lista de extensões instaladas justamente para impedir que um programa adicione uma sem o usuário saber. O KREMLIN contorna isso com uma técnica que os pesquisadores chamaram de Phantom Extension: ele altera o arquivo de preferências protegidas do navegador, ativa o modo de desenvolvedor e reescreve as marcações de integridade com dados forjados.
Resultado: o navegador passa a tratar a extensão maliciosa como legítima. Ela não chegou pela loja, não foi aprovada por ninguém, e ainda assim está lá, com permissões.
O que ela coleta
A lista é longa e explica por que isso é grave em ambiente corporativo:
- credenciais e tokens de sessão — os mesmos que permitem entrar numa conta sem senha e sem o segundo fator;
- cookies e dados guardados pelos sites no navegador;
- histórico de navegação dos últimos 15 dias;
- capturas de tela e a lista de abas abertas;
- e o código completo das páginas visitadas — ou seja, o conteúdo do que estava na tela, inclusive de sistemas internos.
A campanha está ativa desde maio de 2025, já teve sete ondas distintas e, em maio deste ano, passou a usar contratos inteligentes na rede Ethereum para hospedar seus endereços de comando, o que dificulta derrubar a infraestrutura.
O que fazer
- A porta de entrada é o arquivo executado à mão. Vale reforçar com a equipe, principalmente no financeiro e no administrativo: documento bancário legítimo não vem como programa para executar. Na dúvida, confirmar pelo canal oficial do banco.
- Confira as extensões do navegador periodicamente. Extensão que ninguém instalou, com nome estranho ou em modo de desenvolvedor, é sinal de alerta. Nas máquinas da empresa, vale definir por política de gerenciamento a lista de extensões permitidas — a mesma recomendação que vale para o caso de extensões maliciosas nas lojas oficiais.
- Se houver suspeita, o roteiro é trocar tudo de outro dispositivo: senhas, sessões abertas e, no caso de contas bancárias, avisar o banco. Trocar senha na máquina infectada é entregar a senha nova.
O KREMLIN reforça uma tendência que este blog vem repetindo: o navegador virou o sistema operacional do trabalho. É nele que estão o banco, o e-mail, o sistema interno e a nuvem. Quem controla o navegador não precisa invadir mais nada.
Fontes
- Elastic Security Labs — análise da família de malware KREMLIN (REF9334): elastic.co/security-labs
- Foto de capa: logotipos do Google Chrome e do Microsoft Edge — Google e Microsoft, domínio público, via Wikimedia Commons
- Segunda imagem: janela do navegador Google Chrome — domínio público, via Wikimedia Commons
