Por Canuto  

Un malware identificado como KREMLIN aprovecha falsas facturas y documentos bancarios para instalar una extensión maliciosa en Chrome y Edge, desde donde puede capturar credenciales, cookies y sesiones sin que el usuario lo autorice.
***

  • KREMLIN llega mediante archivos JavaScript disfrazados de facturas, recibos o comprobantes bancarios.
  • El malware modifica los archivos de perfil de Chrome y Edge para cargar una extensión como si fuera legítima.
  • La extensión AVSync puede registrar formularios, recopilar sesiones, capturar pantallas y alterar páginas web.

 

Un archivo que aparenta ser una factura, un recibo bancario o un comprobante de pago puede convertirse en la puerta de entrada de una amenaza capaz de operar dentro del navegador. Ese es el mecanismo atribuido a KREMLIN, un malware que instala una extensión en Chrome y Edge sin solicitar autorización visible al usuario, con acceso potencial a credenciales, cookies, sesiones y otros datos de navegación.

La amenaza resulta especialmente delicada porque no depende únicamente de engañar a la víctima para que instale una extensión desde la tienda oficial del navegador. En cambio, manipula los archivos de perfil de Chromium y modifica sus preferencias para que el complemento aparezca ante el programa como si hubiera sido instalado legítimamente, una técnica que puede dificultar su detección durante una revisión superficial.

Una infección disfrazada de documento

El ataque comienza con un archivo JavaScript presentado como una factura, un comprobante de pago, un recibo bancario o algún otro documento comercial. El formato busca aprovechar una situación cotidiana, ya que los usuarios suelen abrir documentos vinculados con compras, transferencias o gestiones financieras sin sospechar que el archivo pueda ejecutar instrucciones maliciosas, detalla un reporte publicado por el medio 20 Minutos.

Cuando la víctima abre el archivo, este puede mostrar un mensaje de error falso para convencerla de que el documento no funciona o está dañado. Mientras la persona observa esa pantalla, el malware continúa trabajando en segundo plano y descarga componentes adicionales que le permiten avanzar con la infección del equipo.

Antes de establecerse, KREMLIN también comprueba si está siendo analizado, de acuerdo con la información divulgada por Elastic Security Labs. Esa capacidad de verificar el entorno puede ayudarle a evitar herramientas de investigación o escenarios controlados, una característica que complica el análisis y permite que la actividad parezca menos evidente en determinadas circunstancias.

Los investigadores señalan que la amenaza permanece activa desde mediados de 2025 y que ha aparecido en varias campañas relacionadas con la suplantación de bancos. El uso de documentos financieros falsos conecta el método de distribución con una estrategia de ingeniería social centrada en la confianza y en la urgencia que suelen transmitir los mensajes sobre pagos o movimientos bancarios.

La instalación silenciosa en el navegador

El rasgo más llamativo de KREMLIN es su capacidad para instalar una extensión maliciosa sin mostrar la solicitud de permiso que normalmente acompaña la incorporación de un complemento. Para conseguirlo, el malware espera a que el navegador se cierre o provoca su cierre cuando permanece inactivo durante cierto tiempo, momento en el que puede modificar sus archivos sin la interacción directa del usuario.

Después, copia la extensión dentro de los archivos de perfil del navegador y altera las preferencias de Chrome o Edge. El objetivo consiste en que Chromium cargue el complemento durante el siguiente inicio como si se tratara de una instalación legítima, aunque el usuario nunca haya aprobado la operación desde la interfaz habitual.

Esta técnica aprovecha una diferencia importante entre instalar una extensión mediante los controles visibles del navegador y modificar directamente la información que el programa utiliza para gestionar su perfil. Por eso, una persona puede revisar de manera rápida sus acciones recientes y no recordar ninguna autorización, mientras el complemento ya se encuentra preparado para ejecutarse.

El procedimiento también explica por qué cerrar el navegador no siempre basta para detener una infección de este tipo. Si el malware logra actuar cuando el programa termina su sesión o si fuerza ese cierre después de un periodo de inactividad, puede dejar lista la configuración para que la extensión vuelva a cargarse cuando el usuario abra nuevamente el navegador.

Qué puede hacer la extensión AVSync

Una vez incorporada al navegador, la extensión se presenta con el nombre AVSync y obtiene capacidades para recopilar información relacionada con la actividad web. Entre los datos que puede buscar se encuentran las cookies, los datos de sesión y el almacenamiento local, elementos que pueden conservar información necesaria para mantener cuentas abiertas o recordar configuraciones en distintos sitios.

La extensión también puede registrar lo que el usuario escribe en formularios, incluidas sus contraseñas. Esa función convierte cualquier página visitada en un posible punto de captura, porque la amenaza no tendría que limitarse a un documento específico y podría observar la información introducida durante diferentes interacciones en el navegador.

Además de recolectar datos, AVSync puede tomar capturas de pantalla y copiar el código fuente de las páginas visitadas. También puede enumerar las pestañas abiertas y consultar el historial de navegación, lo que amplía la visibilidad del atacante sobre las actividades recientes y sobre los servicios que utiliza la víctima.

Entre sus capacidades figuran igualmente la redirección de clics y la modificación del contenido de las páginas mediante código. En la práctica, estas funciones permiten alterar lo que el usuario ve, interferir con sus acciones dentro de un sitio y cambiar elementos de una página sin que exista una señal clara de que el navegador está funcionando bajo la influencia de una extensión no autorizada.

Cómo reducir el riesgo y responder a una posible infección

La primera recomendación consiste en desconfiar de los archivos JavaScript que llegan como supuestas facturas, recibos o documentos bancarios, especialmente cuando el mensaje no era esperado. El formato del archivo y la apariencia de un documento comercial no demuestran que su contenido sea seguro, por lo que conviene confirmar el envío mediante un canal independiente antes de abrirlo.

Mantener Windows y el navegador actualizados también forma parte de las medidas básicas, al igual que utilizar protección antimalware. Estas acciones no sustituyen la cautela frente a los archivos adjuntos, pero pueden ayudar a identificar componentes sospechosos y a reducir la exposición ante amenazas que intentan instalarse fuera de los mecanismos normales del navegador.

Los investigadores recomiendan revisar periódicamente las extensiones instaladas en Chrome y Edge, prestando atención a cualquier complemento desconocido o que el usuario no recuerde haber añadido. Si aparece una extensión inesperada, se debe eliminar y analizar el equipo, porque quitar el complemento puede no ser suficiente si el malware original continúa presente en el sistema.

Cuando una persona introduce contraseñas durante una posible infección, la recomendación es cambiarlas desde otro dispositivo limpio y revisar las sesiones abiertas. Esta respuesta busca limitar el uso de credenciales o sesiones que pudieran haber quedado expuestas, mientras el análisis del equipo ayuda a determinar si KREMLIN u otro componente permanece activo.

El caso muestra que la seguridad del navegador no depende únicamente de reconocer páginas falsas o evitar extensiones desconocidas en una tienda oficial. También exige prestar atención a los documentos que ejecutan código, a los cambios inesperados en el perfil del navegador y a cualquier comportamiento extraño que aparezca después de abrir un archivo financiero.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados