Бразильская банковская операция внедряет вредоносные расширения в Chromium
Elastic Security Labs отслеживала REF9334, бразильскую банковскую вредоносную операцию, активную как минимум с мая 2025 года по 2026 год. Набор инструментов KREMLIN использует многоэтапные загрузчики на JavaScript, PowerShell и Node.js, установщики на C++, RunPE, боковую загрузку DLL и вредоносные расширения для Chromium. Операция нацелена на пользователей бразильских финансовых учреждений, включая Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander и Mercado Pago.
Приманки и обход анализа
Приманки обычно маскируются под банковские документы, счета-фактуры, компоненты Adobe или корпоративные файлы. Первоначальные стадии на JavaScript показывают поддельные сообщения об ошибках, проверяют окружение, извлекают или загружают дополнительные полезные нагрузки и могут устанавливать Node.js для выполнения последующих скриптов.
Проверки окружения включают:
- подсчёт файлов на рабочем столе и запущенных процессов;
- проверку имён пользователей;
- проверку характеристик ЦП, ОЗУ и диска;
- поиск артефактов виртуализации;
- поиск инструментов анализа.
Вредоносное ПО может намеренно вызывать сбой, если результаты проверок указывают на наличие песочницы или если домен сетевой приманки возвращает неожиданный ответ. Закрепление выполняется с помощью запланированных задач, в том числе запускаемых при входе в систему или периодически.
Полезные нагрузки скрывали в файлах JPEG или CAB, размещённых на скомпрометированных или публичных сервисах. Их запускали вручную, внедряли в процессы или загружали через боковую загрузку подписанного бинарного файла SentinelOne.
Расширения Chromium и кража данных
Основной установщик разворачивает расширения непосредственно в каталоги профилей Chrome и Edge, обходя одобрение Web Store. Он изменяет Secure Preferences и пересчитывает значения целостности Chromium, включая устаревшие HMAC и новые зашифрованные хеши.
Для этого установщик извлекает сид Chromium из resources.pak, восстанавливает устаревшие ключи OSCrypt через DPAPI и получает ключи шифрования, привязанные к приложению. Ключи извлекаются при запуске браузера под отладчиком и чтении памяти из chrome.dll или msedge.dll.
Расширение, иногда выдающее себя за «AVSync», запрашивает доступ к вкладкам, файлам cookie, хранилищу и веб-запросам. Оно способно:
- красть учётные данные, файлы cookie, токены сессий и данные браузера;
- выполнять кейлогинг для выбранных сайтов;
- перехватывать POST-запросы;
- перенаправлять элементы страниц;
- обмениваться данными через WebSockets.
Адреса конфигурации и C2 разрешаются динамически. В более новых кампаниях для этого использовались смарт-контракты Ethereum, выступавшие в роли резолверов скрытых точек публикации (dead-drop resolvers).
Связь с командными серверами
В ходе операции также распространялись PULSAR, а затем REMCOS RAT. Связь с C2 фиксировалась по протоколам HTTP, HTTPS и WebSockets.
Артефакты кампании, контент на португальском языке, банковские приманки и телеметрия жертв указывают на основную ориентацию операции на пользователей из Бразилии.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
