Alerta por un malware que instala extensiones de Google Chrome y puede acceder a tus datos

Un nuevo malware conocido como KREMLIN está siendo utilizado para infectar ordenadores mediante documentos financieros falsos y puede instalar extensiones maliciosas en Google Chrome sin que el usuario lo advierta.

El software fue identificado en campañas que inicialmente se habrían originado en Brasil y que posteriormente ampliaron su alcance a otros países.

Los atacantes utilizan documentos que aparentan ser recibos, comprobantes o comunicaciones comerciales de entidades bancarias. Sin embargo, detrás de estos archivos se encuentra código JavaScript que inicia el proceso de infección cuando la víctima interactúa con el documento.

La amenaza resulta especialmente peligrosa porque KREMLIN está diseñado para ocultar buena parte de su actividad. Una vez instalado, puede modificar el navegador para introducir extensiones que permiten recopilar información de las sesiones y de los sitios web utilizados por la víctima.

Así consigue instalar extensiones sin levantar sospechas

KREMLIN no se limita a instalar un programa convencional en Windows. El malware emplea un proceso diseñado para evitar controles de seguridad y dificultar que el usuario detecte cambios en el navegador.

Una de sus técnicas consiste en vigilar el estado de Google Chrome y de otros navegadores basados en Chromium, como Microsoft Edge. El programa puede detectar cuándo el navegador se cierra y también finalizar determinados procesos si permanecen abiertos pero inactivos durante un periodo de tiempo.

Cuando encuentra las condiciones adecuadas, copia las extensiones maliciosas en los directorios correspondientes al perfil del navegador. Después modifica determinadas configuraciones para conseguir que Chrome las cargue utilizando el modo de desarrollador.

Este procedimiento permite que las extensiones permanezcan instaladas sin que necesariamente aparezcan como una descarga convencional realizada por el usuario.

KREMLIN también incorpora mecanismos destinados a ocultar sus modificaciones y evitar los controles de integridad del navegador. Esto dificulta tanto la detección manual como la identificación de la infección mediante algunas comprobaciones habituales.

Qué información puede robar KREMLIN

El principal riesgo está relacionado con la cantidad de información que las extensiones maliciosas pueden recopilar una vez instaladas.

Según los reportes de Elastic Security Labs sobre esta amenaza, KREMLIN puede acceder a las cookies almacenadas en Chrome, además de información guardada temporalmente durante las sesiones mediante SessionStorage y a datos almacenados de forma persistente mediante LocalStorage.

Estos elementos pueden proporcionar información sobre las sesiones iniciadas en diferentes páginas web y, en determinados casos, facilitar el acceso no autorizado a servicios si las medidas de seguridad adicionales no están activadas.

El malware también puede capturar los datos que una persona introduce en formularios de internet. Esto incluye información sensible como contraseñas, además de otros datos introducidos en páginas web.

Sus capacidades no terminan ahí. KREMLIN puede realizar capturas de pantalla, modificar el comportamiento de determinados clics y alterar el contenido HTML de las páginas visitadas.

Estas funciones pueden utilizarse para mostrar información falsa, redirigir a la víctima hacia determinados destinos o manipular una página legítima para facilitar nuevos engaños.

Los documentos bancarios falsos son la puerta de entrada

Las campañas asociadas a KREMLIN recurren a la suplantación de entidades financieras. Los delincuentes pueden enviar documentos que aparentan proceder de bancos y que están relacionados con pagos, facturas o movimientos comerciales.

El objetivo es conseguir que la víctima abra o ejecute el archivo sin sospechar que contiene código malicioso.

Este método se apoya en una técnica conocida como ingeniería social: en lugar de depender únicamente de una vulnerabilidad técnica, el atacante intenta convencer al usuario de que el archivo es legítimo.

La utilización de documentos relacionados con operaciones bancarias aumenta el riesgo porque estos mensajes pueden parecer comunicaciones urgentes o importantes.

Cómo reducir el riesgo de infección

Ante este tipo de campañas, es recomendable no abrir archivos inesperados recibidos por correo electrónico o mensajería, incluso cuando aparenten proceder de un banco conocido.

Si existe alguna duda sobre una factura, pago o comunicación bancaria, lo más seguro es comprobarla directamente desde la aplicación o página oficial de la entidad y utilizar sus canales de atención para confirmar el mensaje.

También conviene mantener actualizado el navegador, el sistema operativo y las herramientas de seguridad, además de revisar periódicamente las extensiones instaladas en Chrome.

La aparición de KREMLIN demuestra que los ataques no siempre necesitan que el usuario descargue conscientemente un programa identificado como malware. Un documento aparentemente legítimo puede convertirse en la puerta de entrada para modificar el navegador y acceder posteriormente a información almacenada durante la navegación.