Los navegadores, bajo la lupa del Kremlin
Los investigadores de Elastic Security Labs han descubierto una nueva campaña de malware bancario brasileño, identificada como REF9334. Según los especialistas, el ataque está activo desde al menos mayo de 2025 y se dirige sobre todo a usuarios de servicios bancarios en Brasil.
Los atacantes distribuyen documentos bancarios, facturas y archivos empresariales falsos. El usuario abre uno de esos documentos, ejecuta un programa malicioso y, en la práctica, deja entrar a los atacantes en su ordenador. A continuación, el programa instala una extensión maliciosa en los navegadores Google Chrome y Microsoft Edge.
Los investigadores han llamado Kremlin al programa malicioso. Puede robar las credenciales guardadas en el navegador, las cookies —pequeños archivos en los que los sitios web almacenan información sobre el inicio de sesión y la configuración—, así como tokens e información sobre sesiones activas. Gracias a ello, los delincuentes pueden intentar acceder a cuentas que ya tienen una sesión abierta sin volver a introducir la contraseña.
Kremlin también vigila la actividad del usuario en el navegador, hace capturas de pantalla y recopila información de los sitios visitados. El objetivo principal de la campaña son los datos de clientes de bancos brasileños, pero la técnica supone un peligro para cualquier usuario que guarde contraseñas y acceda a servicios importantes mediante Chrome o Edge.
El malware procura evitar que los investigadores lo detecten y permanecer en el sistema el mayor tiempo posible. Primero comprueba si se está ejecutando en un entorno aislado, una sandbox que los especialistas utilizan para analizar virus. Si detecta que está en una sandbox, deja de funcionar. En un ordenador normal instala una extensión llamada «AVSync System Inc.» y la disfraza de componente de protección antivirus.
Para comunicarse con los dispositivos infectados, sus operadores no utilizan un único servidor de mando permanente. En su lugar, el malware guarda información en la cadena de bloques Ethereum. Este enfoque dificulta el bloqueo de la infraestructura: los datos están distribuidos y no hay un servidor convencional que se pueda desconectar.
Durante la investigación, los especialistas de Elastic tomaron el control del dominio utilizado por el malware. Esto permitió determinar que se habían infectado 1515 sistemas. Alrededor del 98 % se encontraba en Brasil.
Los investigadores también registraron un dominio «canario» de red —una señal técnica que ayuda a rastrear la actividad de la campaña maliciosa— y lo dirigieron a su servidor web. Después de eso, el descargador creyó que estaba en una sandbox y detuvo el resto de sus acciones. Por tanto, según la evaluación de Elastic, las infecciones detectadas no avanzaron más allá de la fase inicial de acceso.
PEREC.RU
La campaña REF9334 es una nueva operación de malware brasileña que Elastic Security Labs vincula al malware bancario Kremlin. Los investigadores creen que el ataque está activo desde al menos mayo de 2025. Los atacantes usan documentos bancarios, facturas y archivos empresariales falsos para inducir a los usuarios a ejecutar un programa malicioso.
Una vez ejecutado, el programa instala una extensión maliciosa en Google Chrome y Microsoft Edge. Se llama «AVSync System Inc.» y se hace pasar por un componente antivirus o de protección. Kremlin puede robar nombres de usuario y contraseñas guardados en el navegador, cookies, tokens y datos de sesiones activas. Esa información puede permitir a los atacantes acceder a cuentas que ya tienen una sesión abierta sin volver a introducir la contraseña.
Además de robar credenciales, el programa vigila la actividad del usuario en el navegador, hace capturas de pantalla y recopila información de los sitios visitados. El objetivo principal de la campaña son los usuarios de bancos brasileños, pero la técnica también supone una amenaza para cualquiera que guarde contraseñas en el navegador y use servicios de internet mediante Chrome o Edge.
Kremlin emplea técnicas para dificultar su análisis. Antes de ejecutarse, comprueba si el ordenador se encuentra en una sandbox, un entorno aislado que los especialistas utilizan para analizar malware. Si detecta una sandbox, el programa deja de funcionar. En un ordenador de usuario normal intenta mantenerse mediante una extensión camuflada.
Para intercambiar datos con los operadores utiliza la cadena de bloques Ethereum. El malware no depende de un único servidor de mando fijo, por lo que resulta más difícil bloquear su infraestructura con los métodos habituales.
Durante la investigación, los especialistas de Elastic tomaron el control de un dominio relacionado con la campaña y detectaron 1515 sistemas infectados. El 98 % se encontraba en Brasil. Los investigadores también registraron un dominio «canario» de red y lo dirigieron a su propio servidor web. Después, el descargador creyó que se encontraba en una sandbox y detuvo su ejecución.
Como resultado, según la evaluación de Elastic, las infecciones identificadas no pasaron de la fase inicial de acceso. El material original mencionaba por separado una lista de indicadores de compromiso, pero se han excluido los enlaces y elementos de navegación.
