Identifié par les chercheurs d’Elastic Security Labs, le logiciel malveillant KREMLIN cible les navigateurs basés sur Chromium comme Google Chrome et Microsoft Edge. L’infection commence généralement par l’ouverture d’un faux document financier ou professionnel sous forme de fichier JavaScript. Une fois exécuté sur la machine, le malware déploie des mécanismes de contournement pour échapper aux analyses automatisées avant de préparer l’installation d’une charge malveillante persistante à l’aide de tâches planifiées.
La particularité de cette menace réside dans sa méthode d’infiltration directe des navigateurs web. Le malware attend que le navigateur soit fermé ou inactif pour copier une extension malveillante, baptisée AVSync, directement dans le profil utilisateur. Pour berger les sécurités de Chromium, l’outil active le mode développeur, modifie le fichier de préférences sécurisées et reconstruit les contrôles cryptographiques d’intégrité à l’aide des clés natives du navigateur. Résultat : Chrome ou Edge charge l’extension sans que l’utilisateur n’ait validé quoi que ce soit.
Une fois en place, cette extension agit comme un outil complet de surveillance et de vol de données. Elle récupère les cookies de session, l’historique, le stockage local ainsi que les caractères saisis via une fonction de keylogging pour intercepter des mots de passe. Le module peut également réaliser des captures d’écran, injecter du code HTML indésirable dans les pages consultées ou rediriger des clics vers des serveurs contrôlés par les pirates informatiques.
Les campagnes associées à KREMLIN exploitent des leurres inspirés de banques et d’organismes financiers, ciblant principalement des utilisateurs au Brésil depuis mai 2025. Pour se prémunir de ce type d’attaque, il est recommandé de surveiller régulièrement la liste des extensions installées dans son navigateur et de se méfier de tout fichier reçu dont l’origine est incertaine.
Cet article a été modifié pour la dernière fois le 21 septembre 2026 12h28
