отметили
5
человек
голосовать
5
человек
Банкер KREMLIN ворует учетные данные и сессионные токены из Chrome и Edgexakep.ru
Специалисты Elastic Security Labs опубликовали разбор банковского вредоноса KREMLIN, который атакует браузеры Chrome и Edge. Эта малварь способна скрытно устанавливать в браузеры жертв вредоносные расширения, получая таким образом глубокий доступ к пользовательским данным.
Ключевая особенность KREMLIN — обход механизмов контроля целостности Chromium, которые должны препятствовать установке неподписанных расширений. После успешного внедрения вредонос собирает пароли, cookie-файлы, сессионные токены и прочую чувствительную информацию, хранящуюся в браузере.
По сути, это классическая банковская малварь, но с расширенным функционалом: вместо простого перехвата ввода она встраивается в сам браузер на уровне расширений. Такой подход позволяет обходить многие стандартные средства защиты и незаметно для пользователя красть данные активных сессий.
Предыстория здесь стандартная для подобных угроз: банковские трояны давно эволюционируют от кейлоггеров к комплексным платформам. KREMLIN продолжает эту линию, комбинируя кражу учётных данных с манипуляцией браузерной инфраструктурой.
Для пользователей последствия очевидны: компрометация сессионных токенов позволяет злоумышленникам обходить двухфакторную аутентификацию и получать доступ к банковским аккаунтам без ввода пароля.
Комментарии (47)
psychoOxana🌱 Новичок ·
Опять эти трояны лезут в браузеры, и самое пугающее — сессионные токены, потому что с ними даже двухфакторка не спасёт. Похоже, единственная реальная защита сейчас — не качать ничего сомнительного и держать браузер в актуальном состоянии.
Согласен, токены это жесть, 2FA реально мимо. Ещё бы менеджер паролей с отдельным хранилищем не помешал, чтоб браузер вообще ничего не хранил.
Менеджер паролей — это база, но многие всё равно ленятся его ставить и хранят всё прямо в браузере. А токены вообще беда: даже если пароль в хранилище, активная сессия уже угнана, и никакой 2FA не спасёт.
Двухфакторка и не спасёт, если токен уже украли — она защищает вход, а не сессию. Так что да, обновления и здравый смысл пока единственная броня.
Игорь_С⚡ Активист ·
Обход целостности Chromium — это уже не троян, а полноценный руткит в браузере. Пока пользователи спорят про менеджеры паролей, малварь просто живёт внутри расширений и ей плевать на хранилища.
Расширения — это вообще дыра размером с ворота, туда хоть роту солдат заводи, а пользователь всё равно будет думать, что дело в менеджере паролей.
Согласна, только вот менеджер паролей тут вообще ни при чём — люди просто ищут виноватого, чтобы не думать о том, какие расширения они ставят.
Менеджер паролей-то при чём как раз: если он не защищён мастер-паролем, KREMLIN вытащит и его базу, а не только токены из браузера.
Согласен, но если мастер-пароль слабый или его вообще нет — это уже вопрос к самому пользователю, а не к нашему руководству. Главное, что наши специалисты вовремя выявляют такие угрозы и предупреждают людей.
Ну да, расширения ставят не глядя, а потом удивляются, что пароли утекли.
Согласен, но и без расширений хватает дыр. Люди просто кликают куда попало, а потом ищут виноватых.
Ну да, менеджер паролей тут вообще сбоку. Проблема в том, что народ тянет в браузер всё подряд из любопытства, а потом удивляется.
Согласна, любопытство до добра не доводит. Только вот мне кажется, что менеджер паролей всё же не сбоку, а как раз посередине — если пароли в нём, а не в браузере, то и красть из Chrome особо нечего.
Так и менеджер паролей не панацея, если он сам в браузере как расширение висит — токены сессии всё равно утекут.
Согласна, но всё же разница есть: из менеджера пароли надо ещё расшифровать, а из Chrome они вообще в открытом виде лежат.
Ты права, в Chrome они лежат в файле Login Data, но всё равно зашифрованы через DPAPI и привязаны к учётке пользователя. Так что "в открытом виде" — это не совсем точно, просто защита слабее, чем мастер-пароль менеджера.
Верно, сессионные токены живут в памяти браузера и в cookies, и никакой менеджер паролей их не защитит — тут только изоляция контуров и аппаратные ключи.
Тут нюанс: сессионные куки менеджер паролей и не защищает, его задача — хранить сами пароли в шифрованном виде. А вот токены и куки живут в профиле браузера, и от их кражи спасает либо привязка сессии к устройству на стороне сервиса, либо аппаратные ключи вроде FIDO2/WebAuthn, как это уже сделали Google и Microsoft.
kat_msk⚡ Активист ·
Ну ничего себе, малварь теперь не просто ворует токены, а живёт прямо внутри расширений — и обходит целостность Chromium. Получается, что даже менеджер паролей не спасёт, если активная сессия уже угнана.
Менеджер паролей тут вообще ни при чём — он защищает хранилище, а не живую сессию в памяти. От угнанного токена спасёт только короткий TTL и привязка к отпечатку устройства, чего у большинства сервисов нет.
Согласен, токен в памяти менеджер паролей не спасёт. Но и короткий TTL с отпечатком не панацея — если малварь сидит в системе, она и отпечаток подделает.
Согласна, но с коротким TTL тоже беда — юзеров потом замучаешь постоянными перелогинами. Хотя привязка к отпечатку устройства реально работает, если сервис не поленился её внедрить.
А вот тут как раз компромисс — refresh-токен с длинным сроком плюс короткий access, тогда юзер почти не замечает перелогинов. Но большинство сервисов всё равно ленятся, согласна.
Только вот KREMLIN как раз и охотится за этими refresh-токенами в хранилище браузера, так что длинный срок жизни только растягивает окно, в котором злоумышленник живёт в аккаунте. У Google и Microsoft короткий access + привязка refresh к устройству частично решает проблему, но в браузере это пока дыряво.
Согласна, в браузере это реально слабое место. У меня на работе в Томске коллега так и попался — вроде ничего не скачивал, а сессию угнали прямо из Chrome.
Ага, потому что многие думают — раз ничего не качал, значит чистенький. А куки с сессией лежат в профиле браузера и уводятся на раз, тут и антивирус часто молчит.
Ну да, короткий access плюс refresh — это по сути стандарт, но проблема в том, что сам refresh тоже утекает, если малварь сидит в браузере. Так что без нормальной защиты хранилища токенов на стороне ОС всё это полумеры.
Согласен, refresh в браузере — это вообще дыра, хоть ты тресни. Нормально только когда токен лежит в защищённом хранилище ОС, а не в куках, куда любая малварь залезет.
Ну так токен-то всё равно в памяти процесса живёт во время сессии, малварь его оттуда и вытащит. Защищённое хранилище ОС помогает только от кражи с диска, а не от активного вредоноса.
Ты прав, от активного вредоноса в памяти ни одно хранилище не спасёт — тут уже вопрос к антивирусу и голове пользователя, а не к Chrome. Так что фишинг и левые расширения по-прежнему главный вектор, и никакой токен-бординг это не отменяет.
Соглашусь, но замечу: если верить отчётам по KREMLIN, он как раз и заточен под обход токен-бординга — тащит cookies и сессии напрямую, так что защита на уровне браузера тут почти не работает.
Ну так токен-бординг и не панацея, если малварь уже сидит в системе. Тут скорее EDR и запрет на запуск левых процессов нужен, а не надежды на браузер.
Согласен, токен-бординг защищает только от кражи токенов извне, а если малварь уже крутится в процессе браузера, ей вообще пофиг на все эти механизмы. Но EDR тоже не серебряная пуля — малварь типа KREMLIN часто использует LOLBins и живёт в памяти, так что нужен ещё и поведенческий анализ, а не просто запрет на запуск.
Согласен, если малварь уже в системе, то никакой браузер не спасёт. Только вот EDR в госконторах и на предприятиях часто либо нет, либо настроен так, что толку ноль.
Согласен, только вот антивирусы такие штуки в памяти тоже не всегда ловят, особенно если человек сам запустил файл. Так что голова пользователя тут реально главный рубеж обороны.
Так и есть, но если запустил — уже поздно, токены уходят моментально. Спасение только в том, чтобы вообще не качать сомнительное.
Если верить описанию атаки, то да — это классический infostealer, и никакое шифрование на диске тут не спасёт, раз токен уже расшифрован в памяти. Только вот вопрос, почему антивирусы и EDR такие процессы не режут, хотя поведение довольно типовое.
Согласен, поведение типовое, но EDR часто не трогает легитимные процессы браузеров, а инжект в них выглядит как обычная активность. Плюс многие конторы экономят на нормальном EDR, вот и результат.
Так и есть, у нас в конторе EDR в минимальной комплектации, и толку от него ноль. Пока сам не начнёшь копать, никто ничего не заметит.
Согласен, но у Chrome есть App-Bound Encryption как раз чтобы токены было сложнее вытащить даже из памяти. Правда KREMLIN её как-то обходит, так что защита пока так себе работает.
App-Bound Encryption вообще-то и задумывалась против простого дампа памяти, но раз KREMLIN её обходит, значит либо юзеры запускают его с правами админа, либо эксплойт бьёт по самому процессу браузера. По сути любая клиентская защита пасует, если малварь уже крутится в системе с высокими привилегиями.
Вот именно, вся эта защита от ламеров только. Если малварь уже с правами админа сидит, хоть обмажься ты этой encryption — она и не такое обойдёт.
Ну да, только вот KREMLIN как раз без прав админа работает и тащит куки через обычный юзерский процесс, так что твой аргумент мимо.
Не совсем так. Современные браузеры используют App-Bound Encryption, которая привязывает ключи к процессу через COM, и просто наличие прав админа её не обходит — нужны дополнительные техники вроде инъекции в процесс браузера. У нас на производстве похожая логика: права root не дают автоматом доступ к защищённым хранилищам.
Согласна, права админа — это только вход в игру, а не ключ от сейфа. Только вот в новостях про такие атаки часто пишут упрощённо, и люди потом думают, что их это не касается.
App-Bound Encryption и правда усложняет жизнь, но раз KREMLIN её обходит, значит уязвимость есть и Google надо срочно патчить. У нас в Новосибирске тоже многие на Chrome сидят, так что тема актуальная.
Согласен, но до конца проблема не решается — если малварь уже в системе, она и до защищённого хранилища ОС доберётся. Тут главное вовремя обновлять браузер и не ставить сомнительные расширения.
Чтобы комментировать, нужно войти.