Une opération de malware bancaire suivie par Elastic Security Labs sous le nom REF9334 utilise le toolkit KREMLIN pour installer une extension malveillante dans Chrome et Edge. Le rapport publié le 14 septembre 2026 décrit une campagne active depuis mai 2025, qui se présente notamment comme des documents de douze banques brésiliennes. BleepingComputer a détaillé cette technique le 16 septembre.
Le point important n’est pas seulement l’installation silencieuse. Une fois présente, l’extension nommée AVSync peut lire des éléments habituellement protégés par le navigateur : cookies, stockage de session, contenu des pages et texte saisi. Une session bancaire déjà ouverte peut donc devenir une cible, même si le mot de passe n’est pas directement demandé à la victime.
Ce qui s’est passé
La chaîne commence par un fichier JavaScript que l’utilisateur ouvre manuellement en pensant consulter un reçu bancaire, une facture, un justificatif de paiement ou un document d’entreprise. Le premier script affiche une fausse erreur, vérifie qu’il ne s’exécute pas dans un environnement d’analyse, puis télécharge Node.js et les étapes suivantes. Une tâche planifiée assure la persistance et un contrat intelligent Ethereum fournit des emplacements de téléchargement ou de commande.
Les étapes suivantes installent notamment un chargeur et un composant C++. Elastic décrit aussi l’utilisation détournée d’un binaire légitime de SentinelOne pour charger une DLL non signée. Le rapport relie cette infrastructure à sept campagnes observées depuis 2025 ; il ne s’agit donc pas d’un fichier isolé, mais d’un outillage maintenu et adapté au fil du temps.
Comment KREMLIN force l’installation dans Chrome et Edge
KREMLIN n’a pas besoin que l’utilisateur valide une extension dans le Chrome Web Store. Le programme attend que le navigateur soit fermé ou inactif, puis copie l’extension dans les répertoires de profil de Chromium. Il active ensuite le mode développeur et l’enregistre dans le fichier Secure Preferences.
Ce fichier contient des contrôles cryptographiques qui détectent normalement une modification des préférences. Le malware récupère les clés utilisées par le navigateur et recrée les HMAC ainsi que les hachages chiffrés attendus. Chrome ou Edge peut alors traiter AVSync comme une extension installée correctement, même si personne n’a cliqué sur « Ajouter ». Cette technique est documentée publiquement, mais Elastic la décrit comme rarement observée dans des malwares.
Quelles données l’extension peut exposer
Elastic indique qu’AVSync demande l’accès aux onglets, aux cookies, au stockage et à l’API webRequest. Ses scripts peuvent voler des cookies, le localStorage et le sessionStorage, énumérer les onglets ouverts et certaines informations d’historique, capturer une image de l’onglet actif et récupérer le HTML complet d’une page.
L’extension peut également observer le texte saisi dans des formulaires, intercepter des corps et en-têtes de requêtes HTTP, injecter du HTML contrôlé par l’attaquant et rediriger certains clics. Elle communique avec son infrastructure par WebSocket et par des requêtes qui imitent le chargement de feuilles de style. La capacité exacte dépend de la configuration et du profil infecté ; elle ne prouve pas que chaque donnée a été exfiltrée sur chaque machine.
Ce que signifie le périmètre observé
Elastic a enregistré 1 515 systèmes qui ont tenté de joindre un domaine utilisé comme canari réseau pendant son analyse. 98,75 % de ces systèmes étaient géolocalisés au Brésil, ce qui confirme le ciblage principal décrit dans le rapport. Ce résultat mesure les machines visibles par ce mécanisme précis, pas le nombre total de victimes de REF9334.
L’enregistrement du domaine a perturbé la campagne en faisant croire au chargeur qu’il se trouvait dans un bac à sable. Cela a stoppé la progression de certaines infections observées, mais n’a pas supprimé le composant déjà présent sur les postes. Les indicateurs publiés par Elastic doivent donc servir à rechercher et traiter les machines, pas à conclure qu’un poste est sain parce que l’extension n’est plus visible.
Ce que doivent faire les utilisateurs et les organisations
Pour les utilisateurs
Si une extension AVSync ou une extension inconnue apparaît dans Chrome ou Edge, cessez d’utiliser ce profil pour la banque, la messagerie et les services professionnels. Notez le nom et l’identifiant affichés, déconnectez le poste du réseau et contactez le support. Ne supprimez pas les traces avant d’avoir demandé conseil si l’appareil appartient à une organisation.
Depuis un appareil sain, révoquez les sessions actives et changez les mots de passe qui ont pu être saisis dans le navigateur. Traitez en priorité la messagerie, la banque et les comptes d’administration. Vérifiez aussi les règles de récupération et activez la MFA lorsqu’elle est disponible : elle ne rend pas les cookies déjà volés inutiles, mais elle réduit le risque lors d’une nouvelle connexion.
Pour les organisations
Recherchez les extensions inattendues, le mode développeur activé, les modifications anormales des profils Chrome et Edge, les tâches planifiées ajoutées récemment et les téléchargements de Node.js non prévus. Comparez ces éléments avec les indicateurs de compromission publiés par Elastic et conservez les journaux avant le nettoyage.
Traitez un poste suspect comme potentiellement compromis : isolement, collecte de preuves, réinstallation ou nettoyage validé, révocation des sessions et rotation des secrets. Les politiques d’installation d’extensions, les profils gérés et la journalisation des navigateurs complètent ces contrôles ; ils ne remplacent pas l’analyse d’un poste qui a exécuté le faux document.
Le lien avec Soclyde
Soclyde ne protège pas Chrome, Edge, les banques ciblées ou les postes touchés par REF9334. Il ne peut pas rendre un cookie volé à nouveau fiable et ne remplace ni l’EDR, ni l’analyse forensique, ni la révocation des sessions.
Son utilité intervient dans la remise en ordre : générer un secret distinct pour chaque compte, le conserver dans un coffre chiffré local-first et retrouver rapidement les accès à faire tourner après l’isolement d’un appareil. Cette séparation évite qu’un mot de passe saisi dans un navigateur compromis soit réutilisé ailleurs. Consultez notre guide du générateur de mots de passe sécurisé pour structurer cette rotation.
À retenir
KREMLIN montre qu’une extension peut devenir le point de contrôle d’une session bancaire sans passer par une installation visible dans le navigateur. Le risque vient de la chaîne complète : faux document JavaScript, persistance, contournement de Secure Preferences, puis accès aux cookies, au contenu des pages et aux textes saisis.
Les 1 515 systèmes observés par Elastic signalent une campagne active, mais ne constituent pas un total de victimes. Pour les utilisateurs comme pour les équipes, la priorité est d’isoler le poste, de révoquer les sessions et de faire tourner les secrets depuis un environnement sain. Pour aller plus loin, consultez notre guide du générateur de mots de passe sécurisé ou contactez Soclyde.
