Die Infektionskette von KREMLIN startet mit einer JavaScript-Datei, die als Bankbeleg, Rechnung, Zahlungsnachweis oder Geschäftsdokument getarnt ist. Hat die Datei ihre Anti-Sandbox-Prüfungen bestanden, zeigt sie dem Opfer eine gefälschte Fehlermeldung. Im Hintergrund lädt sie Node.js nach, verankert sich über eine geplante Aufgabe im System und holt sich die Adresse der nächsten Schadkomponente aus einem Ethereum-Smart-Contract.
Das auffälligste Merkmal des Toolkits ist die Fähigkeit, Erweiterungen in Chrome und Edge zu installieren, ohne den Nutzer um Zustimmung zu bitten. Die Malware wartet, bis der Browser geschlossen wird, oder beendet ihn, sobald sie ihn als untätig erkennt. Anschließend kopiert sie die Erweiterung in die Profilverzeichnisse der Anwendung, aktiviert den Entwicklermodus und trägt das Add-on in die Secure Preferences von Chromium ein.
Um die Manipulation zu verbergen, greift KREMLIN auf jene Verschlüsselungsschlüssel zu, mit denen der Browser sensible Daten schützt, und erzeugt die Integritätsprüfungen neu, mit denen Chrome Änderungen an den Einstellungen erkennt. Für den Browser wirkt die Erweiterung dadurch legitim, obwohl sie nie freigegeben wurde – ein dokumentiertes, aber selten beobachtetes Verfahren, wie die Forscher betonen.
„KREMLIN nutzt eine dokumentierte Technik, die bei Schadsoftware nur selten zu beobachten ist: Es kopiert die Erweiterung manuell in die Profilverzeichnisse des Browsers und registriert sie in der Datei Secure Preferences“, erklärt Elastic. „Da Chromium diese Einträge mit kryptografischen Integritätsprüfungen schützt, muss die Malware die benötigten Schlüssel beschaffen und die zugehörigen HMACs sowie die verschlüsselten Hashes neu erzeugen.“
Nach der Installation gibt sich die Erweiterung als AVSync aus. Darüber hinaus arbeitet das Toolkit selbst als Informationsdieb: Es kann Browser-Datenbanken, Cookies, installierte Erweiterungen sowie die App-Bound-Schlüssel archivieren und abtransportieren, die zum Entschlüsseln geschützter Daten nötig sind.
Die Kampagnen setzen Ethereum-Smart-Contracts als Dead-Drop-Resolver ein und missbrauchen zudem den Dienst Internet Archive, um Schadkomponenten versteckt in JPEG-Bildern zu hosten. In jüngeren Kampagnen brachten die Angreifer das Fernwartungswerkzeug REMCOS zum Einsatz, während frühere Operationen den Pulsar RAT verteilten; den Wechsel führen die Forscher auf den größeren Funktionsumfang von REMCOS zurück.
Über die Analyse der Infrastruktur und Code-Artefakte konnten die Forscher die Ethereum-Wallet identifizieren, die die Smart Contracts ausgerollt und aktualisiert hat. Nach ihren Angaben flossen dort rund 20.800 USDT (Tether) ein und etwa 19.000 USDT wieder ab. Bestätigt sind 1.515 infizierte Systeme, fast ausschließlich in Brasilien.
Elastic gelang es, die laufende Kampagne zu stören: Das Unternehmen registrierte eine Domain, die die Malware als Anti-Sandbox-Kanarienvogel abfragte. Dadurch brach der Loader mit Fehlalarm auf Systemen ab, die andernfalls für eine Infektion in Frage gekommen wären. Zu den Taktiken und Techniken der Angriffe veröffentlichten die Forscher zudem einen Satz von Kompromittierungsindikatoren.