ブラジル銀行を狙うマルウェア「KREMLIN」、ChromeとEdgeの保護を回避して認証情報を窃取

要点

• ブラジルの金融機関を偽装し、ブラウザから認証情報やセッショントークンを盗み出すマルウェア「KREMLIN」の活動が確認された。

• 攻撃者はイーサリアムのスマートコントラクトを悪用し、検知やテイクダウンを回避しながら通信先を動的に取得している。

• 正規のセキュリティ製品バイナリを悪用したDLLサイドローディングや、解析を妨害するハードウェア環境チェックを行う。

• Chromium系ブラウザの設定ファイルと整合性検証を改ざんし、セキュリティ警告を出さずに不正な拡張機能を登録・実行する。

• セキュリティ企業のElastic Security Labsは、ブラジルの複数の銀行を装って感染を広げる新種のマルウェアツールキット「KREMLIN」に関する調査レポートを公開した。同社が「REF9334」として追跡しているこの脅威アクターは、遅くとも2025年5月から活動を継続しているという。感染した環境のGoogle ChromeおよびMicrosoft Edgeに不正なブラウザ拡張機能を強制的に導入し、ログイン認証情報やセッショントークン（ログイン状態を維持するための識別データ）などを窃取することが判明している。

請求書や銀行書類に偽装した初期感染と環境検出

レポートによると、攻撃の起点となるのは銀行、請求書、あるいは企業関連の書類を装ったJavaScriptファイルである。ユーザーがこのファイルを手動で実行すると、多段階で構成されたローダーが起動する仕組みになっている。

このローダーにはサンドボックス（疑わしいファイルを隔離して安全に検査する仮想環境）や仮想マシンを検知する機能が組み込まれており、解析環境下でないことが確認された場合にのみ、後続の不正プログラムのダウンロードと実行へ進む。

環境チェックを通過すると第2ステージへと移行し、タスクスケジューラを用いてシステムの再起動後も動作し続ける永続化の仕組みを構築する。その後、必要なバイナリを取得して第3ステージを実行する流れをとる。

イーサリアムのスマートコントラクトを中継点に悪用

KREMLINの大きな特徴として、攻撃インフラの隠蔽と耐障害性の確保にブロックチェーン技術を利用している点が挙げられる。

攻撃者は、イーサリアムのスマートコントラクトを「デッド・ドロップ・リゾルバ」（外部の公開基盤を介して通信先情報を間接的に受け渡す手法）として悪用している。マルウェアは特定のコントラクトアドレスを参照して、指令サーバー（C2）の接続先や追加ペイロードの配布元URLを動的に取得する。この手法により、セキュリティ機関によるインフラの遮断やテイクダウンを回避し、常に有効な配信先を維持できるよう設計されている。

正規セキュリティソフトを悪用したDLLサイドローディング

スマートコントラクト経由で取得されるペイロードには、悪意あるブラウザ拡張機能のインストーラ、.NET PE Injector、そしてSentinelOneの正規バイナリ「SentinelMemoryScanner.exe」が含まれている。

C++で開発されたインストーラは、このSentinelOneの正規プログラムを実行し、未署名の不正なDLL「SentinelAgentCore.dll」を読み込ませる「DLLサイドローディング」を実行する。これにより、正規プロセスの権限を不正に利用してメインペイロードを立ち上げる。

起動したDLLは、初期ローダーと同様に厳重な解析回避チェックを実施する。実行中のプロセス一覧をハードコードされたリストと照合するほか、システムのCPUコア数が2基以上、搭載メモリ（RAM）が3GBを超えているかといったハードウェア要件を検査する。条件を満たさない場合は、解析環境とみなして即座に処理を中断する。

ブラウザの整合性検証を突破して不正拡張機能を登録

環境チェックを完了したKREMLINは、スマートコントラクトから取得したドメインへ接続し、「AVSync System Inc.」という名称のブラウザ拡張機能のバージョン情報とIDを取得する。端末内にすでに同一バージョンの拡張機能が存在しないことを確認した上で、ZIP形式の拡張機能アーカイブをダウンロードする。

Google ChromeやMicrosoft EdgeなどのChromium系ブラウザへ拡張機能を導入する際、KREMLINは「Phantom Extension」や「GhostChrome-X」として知られる公開された完全性検証のバイパス手法を利用する。

通常、Chromium系ブラウザは「Secure Preferences」ファイルによって設定の改ざんを防止している。しかし、KREMLINはデベロッパーモードを有効化した上で、設定ファイル内のハッシュ値やHMACを再生成して偽造メタデータを書き込み、ブラウザの保護機能をすり抜けて拡張機能を登録する。

インストールが完了した拡張機能は、ブラウザのタブ、Cookie、内部ストレージ、さらには通信を監視・制御するwebRequest APIへの広範なアクセス権を取得する。プロファイルごとに生成された固有の被害者識別子とともに、収集した機密データを外部のC2サーバーへ送信する。

なお、同様のブラウザ整合性バイパス手法は、中国関連のサイバー攻撃グループ「APT31」が2026年8月下旬に展開した攻撃キャンペーン（ChromeやWindowsのゼロデイ脆弱性を悪用した「BlueMoon」エクスプロイトキットによる「GemStone」拡張機能の配布）でも確認されていたことが報告されている。