ChromeやEdgeといった主要ブラウザに、ユーザーの許可なく悪意のある拡張機能をインストールする新たなマルウェア「KREMLIN」が確認されています。ブラウザ側のチェック機構を回避して拡張機能を導入する仕組みを備えており、Cookieやパスワード、閲覧履歴などの窃取につながる可能性があります。
KREMLINは2025年半ばから活動しているとされ、銀行の領収書や請求書、決済記録、業務文書などを装ったJavaScriptファイルを利用して感染させる手口が確認されています。Elastic Security Labsの研究者が分析を進めており、現在のキャンペーンについては妨害にも成功しています。
偽の金融書類を装って感染させる
感染のきっかけとなるのは、銀行の領収書や請求書、支払い記録などに偽装されたJavaScriptファイルです。ユーザーがこのファイルを開くと、マルウェアが動作を開始します。
KREMLINはサンドボックス環境を検出するためのチェックを行った後、偽のエラーを表示しながらNode.jsをダウンロードします。そして、スケジュールタスクを利用してシステム上での永続化を図ります。
さらに、追加のペイロードを取得する場所については、Ethereumのスマートコントラクトから情報を取得する仕組みが使われているとされています。
Chromiumの保護機構を回避して拡張機能を導入
KREMLINで特に警戒されているのが、ChromeやEdgeなどChromiumベースのブラウザに拡張機能を強制的にインストールする機能です。
Elastic Security Labsの調査によると、悪意のある拡張機能はChromiumの整合性チェック機構を回避し、ユーザーが承認した拡張機能であるかのようにブラウザへ読み込まれます。
具体的には、ブラウザが終了するのを待つか、アイドル状態を検出した際にブラウザを終了させ、その後ブラウザのプロファイルディレクトリへ拡張機能をコピーします。
さらに、開発者モードを有効化したうえで、Chromiumの「Secure Preferences」に拡張機能を追加します。ブラウザが変更を検出できるようにするための整合性チェックについても、ブラウザが機密情報の保護に使用する暗号鍵を利用して再構築する仕組みが確認されています。
つまり、通常のブラウザ操作ではユーザーが明確にインストールを許可していないにもかかわらず、正規の拡張機能が導入されたように見せかけることが可能になります。
インストール後はCookieやパスワードを窃取
インストールされる拡張機能は「AVSync」を装い、ブラウザ内のさまざまな情報を取得します。
確認されている機能にはCookie、Local Storage、Session Storageの窃取が含まれます。また、フォームに入力された文字列を記録するキーロギング機能も備えており、パスワードなどの入力内容が盗まれる可能性があります。
さらに、ブラウザで開いているタブや閲覧履歴を列挙したり、スクリーンショットやWebページのソースを取得したりすることも可能とされています。
HTTPリクエストのボディやヘッダーを傍受する機能に加え、Webページへ攻撃者が用意したHTMLを挿入することもできます。クリックを攻撃者が指定したサイトへリダイレクトする機能や、WebSocket経由で外部からコマンドを受け取る仕組みも確認されています。
2025年から活動、少なくとも7つのキャンペーンを確認
KREMLINは2025年5月以降、少なくとも7件のキャンペーンに関与しているとされます。ブラジルを拠点とする攻撃者との関連が指摘されており、これまでに12の銀行になりすます手口が確認されています。
一方、Elastic Security Labsの研究者は、KREMLINがサンドボックス環境を検出するために利用していたドメインを登録することで、現在進行していたキャンペーンを妨害することに成功したとしています。
今回の事例では、単純に不正な拡張機能を配布するだけではなく、ブラウザそのものが備える整合性チェックを回避して、正規の操作によって追加されたかのように見せる手法が使われています。特に、金融関連の書類などを装ったJavaScriptファイルが感染経路として使われている点には注意が必要です。
不審な請求書や決済記録などを装ったファイルを不用意に開かないことに加え、ブラウザに身に覚えのない拡張機能が追加されていないかを定期的に確認することも重要になりそうです。
