KREMLIN: el malware que roba datos bancarios desde Chrome sin que lo notes

Una nueva amenaza digital llamada KREMLIN está infectando computadoras a través de documentos financieros falsos. Detectado por Elastic Security Labs, este malware fue identificado en campañas que comenzaron en Brasil y ya se han extendido a otras regiones, lo que hace posible que llegue también a usuarios chilenos.

Documentos bancarios falsos como puerta de entrada

Los atacantes envían archivos que parecen recibos, comprobantes o comunicaciones de entidades bancarias. Cuando la víctima abre estos documentos, un código JavaScript oculto inicia el proceso de infección. El método se apoya en ingeniería social, una técnica que busca engañar al usuario para que confíe en un mensaje urgente o importante.

KREMLIN no requiere que la persona descargue un programa evidente. Basta con interactuar con el archivo para que el malware comience a operar en segundo plano. Su diseño está pensado para ocultar la mayor parte de su actividad y evitar los controles de seguridad habituales.

Cómo se instala sin levantar sospechas

Una vez dentro del sistema, KREMLIN vigila el estado de Google Chrome y otros navegadores basados en Chromium, como Microsoft Edge. Puede detectar cuándo el navegador se cierra y también finalizar procesos que permanecen abiertos pero inactivos durante un tiempo. Cuando encuentra las condiciones adecuadas, copia extensiones maliciosas en los directorios del perfil del navegador y modifica configuraciones para que Chrome las cargue usando el modo de desarrollador.

Este procedimiento permite que las extensiones queden instaladas sin que aparezcan como una descarga convencional. Además, KREMLIN incorpora mecanismos para ocultar sus modificaciones y dificultar la detección manual o mediante herramientas de seguridad estándar.

Qué información puede robar y cómo protegerse

Según los reportes de Elastic Security Labs, KREMLIN puede acceder a cookies almacenadas en Chrome, a datos temporales de sesión (SessionStorage) y a datos persistentes (LocalStorage). Esto permite obtener información sobre sesiones abiertas en distintos sitios web y, en algunos casos, acceder a servicios sin autorización si no hay medidas de seguridad adicionales activadas. También puede capturar contraseñas y otros datos ingresados en formularios, realizar capturas de pantalla, modificar clics y alterar el contenido HTML de las páginas visitadas.

Para reducir el riesgo, se recomienda no abrir archivos inesperados recibidos por correo o mensajería, incluso si parecen venir del banco. Ante cualquier duda, lo más seguro es verificar la comunicación directamente desde la aplicación o página oficial de la entidad. También es importante mantener actualizados el navegador, el sistema operativo y las herramientas de seguridad, y revisar periódicamente las extensiones instaladas en Chrome. La aparición de KREMLIN confirma que los ataques no siempre requieren descargar un programa sospechoso: un documento que parece legítimo puede ser la puerta de entrada para modificar el navegador y robar información sensible.

Con información de Infobae