Malware KREMLIN Bypass Proteksi Browser untuk Memasang Ekstensi Chrome dan Edge

Sebuah operasi malware perbankan yang aktif sejak pertengahan 2025 menggunakan toolkit bernama KREMLIN untuk memasang ekstensi berbahaya pada browser Google Chrome dan Microsoft Edge tanpa persetujuan pengguna.

Malware tersebut dirancang untuk mencuri kredensial, cookie, session token, serta berbagai data sensitif dari browser. Peneliti dari Elastic Security Labs menemukan bahwa KREMLIN mampu melewati mekanisme integritas Chromium sehingga ekstensi berbahaya dapat dimuat seolah-olah telah disetujui oleh pengguna.

Operasi ini diketahui berkaitan dengan kelompok yang berbasis di Brasil dan telah menjalankan sedikitnya tujuh kampanye sejak Mei 2025, dengan menggunakan umpan yang menyamar sebagai layanan dari 12 bank.

Infeksi Dimulai dari File JavaScript Berbahaya

Rangkaian serangan biasanya dimulai ketika korban membuka sebuah file JavaScript yang menyamar sebagai struk bank, invoice, catatan pembayaran, atau dokumen bisnis.

Setelah dijalankan, file tersebut melakukan pemeriksaan untuk mendeteksi lingkungan sandbox atau analisis keamanan. Jika pemeriksaan dianggap aman bagi penyerang, malware kemudian menjalankan tahapan berikutnya.

Loader dapat menampilkan pesan kesalahan palsu kepada korban sambil melakukan aktivitas berbahaya di latar belakang. Pada saat yang sama, malware mengunduh Node.js, membuat mekanisme persistence menggunakan Scheduled Task, serta mendapatkan lokasi payload berikutnya melalui smart contract pada jaringan Ethereum.

Penggunaan smart contract sebagai mekanisme untuk memperoleh lokasi payload membuat infrastruktur serangan menjadi lebih sulit dilacak dibandingkan penggunaan server command-and-control konvensional.

KREMLIN Dapat Memasang Ekstensi Tanpa Persetujuan

Kemampuan paling menonjol dari KREMLIN adalah memasang ekstensi pada Chrome dan Edge tanpa menampilkan permintaan persetujuan kepada pengguna.

Malware menunggu browser ditutup atau menghentikan proses browser ketika mendeteksi kondisi idle. Setelah itu, malware menyalin file ekstensi langsung ke direktori profil aplikasi.

Tahap berikutnya adalah mengaktifkan Developer Mode dan mendaftarkan ekstensi ke file Secure Preferences milik Chromium.

Biasanya, Chromium menggunakan mekanisme integritas untuk mendeteksi perubahan tidak sah pada konfigurasi browser. KREMLIN berusaha melewati perlindungan tersebut dengan mengambil kunci kriptografi yang digunakan browser untuk melindungi data sensitif dan membuat ulang nilai integritas yang diperlukan.

Teknik tersebut membuat ekstensi berbahaya terlihat valid bagi browser meskipun sebenarnya tidak pernah mendapatkan persetujuan dari pengguna.

Menurut Elastic, teknik ini sebenarnya telah terdokumentasi sebelumnya, tetapi relatif jarang ditemukan dalam operasi malware.

Ekstensi Menyamar sebagai AVSync

Setelah terpasang, ekstensi berbahaya tersebut menyamar sebagai AVSync dan mendapatkan kemampuan luas untuk memantau aktivitas pengguna di browser.

Kemampuan yang ditemukan antara lain:

• Mencuri cookie, local storage, dan session storage.
• Merekam teks yang dimasukkan ke dalam formulir, termasuk password.
• Mengambil screenshot dan source halaman web.
• Mengidentifikasi tab yang sedang terbuka serta riwayat browsing.
• Mencegat body dan header HTTP request.
• Menyisipkan HTML yang dikendalikan penyerang ke dalam halaman web.
• Mengarahkan klik pengguna ke tujuan yang dipilih penyerang.
• Menerima perintah melalui koneksi WebSocket.

Dengan kombinasi kemampuan tersebut, ekstensi tidak hanya berfungsi sebagai pencuri kredensial, tetapi juga dapat memberikan kemampuan pemantauan dan manipulasi terhadap aktivitas browsing korban.

Risikonya menjadi lebih tinggi ketika korban mengakses layanan perbankan, email, cloud storage, platform bisnis, atau layanan lain yang menggunakan autentikasi berbasis sesi.

KREMLIN Juga Berfungsi sebagai Info-Stealer

Selain memasang ekstensi browser, toolkit KREMLIN juga memiliki kemampuan sebagai information stealer.

Malware dapat mengarsipkan dan mengekstrak berbagai data yang tersimpan di browser, termasuk database browser, cookie, daftar ekstensi yang terpasang, serta App-Bound cryptographic keys yang diperlukan untuk mendekripsi data tertentu yang dilindungi browser.

Dengan demikian, serangan dapat berlangsung pada beberapa lapisan sekaligus. Ekstensi berbahaya digunakan untuk memantau aktivitas browser secara langsung, sementara komponen info-stealer dapat mengambil data yang telah tersimpan di perangkat.

Payload Disembunyikan di Dalam Gambar JPEG

Elastic Security Labs juga menemukan penggunaan beberapa teknik untuk menyembunyikan dan mengambil payload.

Dalam kampanye KREMLIN, smart contract Ethereum digunakan sebagai dead-drop resolver untuk memperoleh informasi mengenai lokasi payload berikutnya.

Pelaku juga menyalahgunakan Internet Archive untuk menyimpan payload yang disembunyikan di dalam file gambar JPEG.

Pada kampanye yang lebih baru, pelaku menggunakan REMCOS Remote Access Tool (RAT) sebagai salah satu payload. Operasi sebelumnya diketahui menggunakan Pulsar RAT.

Peneliti memperkirakan perpindahan dari Pulsar ke REMCOS berkaitan dengan kemampuan REMCOS yang lebih lengkap untuk kebutuhan operasi jarak jauh.

Lebih dari 1.500 Sistem Terinfeksi

Melalui analisis terhadap infrastruktur dan artefak kode, peneliti Elastic berhasil menghubungkan sejumlah aktivitas serangan dengan wallet Ethereum yang digunakan untuk menyebarkan dan memperbarui smart contract.

Wallet tersebut tercatat menangani sekitar 20.800 USDT dalam transaksi masuk dan sekitar 19.000 USDT dalam transaksi keluar.

Elastic telah mengonfirmasi sedikitnya 1.515 sistem yang terinfeksi, dan hampir seluruh sistem yang teridentifikasi berada di Brasil.

Temuan tersebut menunjukkan bahwa operasi KREMLIN bukan sekadar kampanye percobaan berskala kecil, melainkan telah digunakan untuk menginfeksi sejumlah besar perangkat.

Elastic Mengganggu Infrastruktur Kampanye

Elastic Security Labs berhasil mengganggu kampanye KREMLIN terbaru dengan mendaftarkan sebuah domain yang digunakan malware sebagai anti-sandbox canary.

Domain tersebut berfungsi sebagai salah satu indikator yang digunakan malware untuk menentukan apakah lingkungan target layak dilanjutkan ke tahap infeksi berikutnya.

Dengan mengendalikan domain tersebut, sistem yang seharusnya memenuhi kriteria infeksi justru menghasilkan kondisi yang dianggap mencurigakan oleh malware. Akibatnya, loader menghentikan proses sebelum melanjutkan serangan.

Metode ini memungkinkan peneliti mengganggu sebagian operasi tanpa harus mengambil alih sistem korban.

Pengguna Chrome dan Edge Perlu Waspada

Kasus KREMLIN menunjukkan bahwa keamanan browser tidak hanya bergantung pada kemampuan pengguna mengenali ekstensi mencurigakan.

Malware dapat mencoba memanipulasi konfigurasi browser secara langsung dan melewati mekanisme yang biasanya digunakan untuk memastikan ekstensi telah mendapatkan persetujuan pengguna.

Pengguna dan administrator sistem sebaiknya memperhatikan perubahan ekstensi yang tidak dikenal, aktivitas Scheduled Task yang mencurigakan, proses Node.js yang tiba-tiba muncul, serta perubahan konfigurasi browser yang tidak dilakukan secara manual.

Untuk lingkungan perusahaan, pemantauan endpoint dan browser juga penting untuk mendeteksi pemasangan ekstensi yang tidak sah serta akses tidak normal terhadap database dan kredensial browser.

Sumber: Elastic Security Labs