Elastic Security Labs documenta una operación de robo de credenciales que instala extensiones en Chrome y Edge para interceptar sesiones bancarias en Brasil.
Investigadores de Elastic Security Labs identificaron una operación de malware bancario brasileño que viene operando desde al menos mayo de 2025 bajo el nombre de toolkit KREMLIN. La campaña, rastreada internamente como REF9334, utiliza señuelos que suplantan la identidad de una docena de bancos brasileños para distribuir extensiones maliciosas en Google Chrome y Microsoft Edge. El objetivo central es el robo de credenciales y tokens de sesión de usuarios bancarios.
Cómo funciona la cadena de infección documentada por Elastic
El vector de distribución documentado por Elastic Security Labs se basa en lures — señuelos de ingeniería social — que imitan comunicaciones legítimas de instituciones financieras brasileñas. Una vez que la víctima interactúa con el señuelo, el malware instala una extensión de navegador en Chrome o Edge. Esta extensión opera con permisos amplios que le permiten interceptar tráfico, capturar credenciales ingresadas en formularios web y extraer tokens de sesión activos.
La elección de extensiones de navegador como mecanismo de persistencia no es nueva en el ecosistema de malware bancario brasileño, pero KREMLIN representa una implementación documentada de esta técnica en una operación activa durante al menos diez meses. Las extensiones maliciosas tienen la ventaja de operar dentro del contexto de confianza del navegador, lo que dificulta su detección por parte de soluciones antimalware tradicionales que no inspeccionan el comportamiento de complementos instalados.
Por qué Brasil concentra este tipo de operaciones sostenidas
Brasil ha sido históricamente un laboratorio de innovación para malware bancario. La combinación de alta penetración de banca digital, un mercado financiero robusto y una base de usuarios con niveles variables de alfabetización en seguridad digital crea un entorno propicio para operaciones de este tipo. KREMLIN se suma a una lista de familias de malware bancario brasileño que incluye casos documentados como Grandoreiro, Javali y Mekotio, todos con capacidades de robo de credenciales y persistencia mediante técnicas de ingeniería social.
La suplantación de una docena de bancos brasileños sugiere que los operadores de REF9334 tienen conocimiento detallado del ecosistema financiero local y de las interfaces de usuario de las plataformas bancarias que imitan. Este nivel de especialización geográfica es característico de grupos de cibercrimen brasileños, que tienden a enfocarse en su mercado doméstico antes de expandirse regionalmente.
Exposición regional más allá de Brasil
Aunque la operación documentada por Elastic Security Labs se enfoca en bancos brasileños, la infraestructura técnica de KREMLIN — extensiones maliciosas para navegadores ampliamente usados en toda América Latina — es replicable en otros mercados. Argentina, México y Colombia comparten con Brasil una alta adopción de banca digital y patrones similares de ingeniería social en campañas de phishing. No hay evidencia reportada de que KREMLIN haya sido adaptado para operar fuera de Brasil hasta ahora, pero la técnica de distribución mediante extensiones maliciosas es exportable con modificaciones menores en los señuelos y las instituciones suplantadas.
La dependencia regional de Chrome y Edge como navegadores dominantes en entornos corporativos y personales amplifica el riesgo. Si los operadores de REF9334 deciden expandir su operación, los sectores financieros de otros países latinoamericanos enfrentarían una amenaza con diez meses de refinamiento operativo ya acumulado.
Nuestro análisis
KREMLIN confirma un patrón que venimos observando en malware bancario latinoamericano: la migración desde ejecutables tradicionales hacia componentes que operan dentro del navegador. Las extensiones maliciosas tienen una ventaja operativa clara — persisten después de reinicios, operan con permisos elevados otorgados por el usuario sin saberlo, y son más difíciles de detectar que procesos en segundo plano. La actividad sostenida desde mayo de 2025 indica que la operación no ha sido desmantelada y que los operadores han logrado mantener una infraestructura funcional durante al menos diez meses.
Lo que no sabemos todavía es el volumen de víctimas, si hay exfiltración de datos más allá de credenciales bancarias, y si los operadores de REF9334 tienen vínculos con otras familias de malware brasileño documentadas previamente. La ausencia de información sobre contramedidas específicas implementadas por los bancos suplantados también deja abierta la pregunta de si las instituciones financieras brasileñas están detectando y bloqueando estas extensiones maliciosas en tiempo real, o si la operación sigue activa sin mitigación coordinada. ¿Qué pasaría si esta técnica se replica en mercados con menor madurez en detección de amenazas en navegadores?