IT之家9月17日消息，据Androidheadlines报道，一种名为KREMLIN的新型恶意软件近日被发现，能够绕过浏览器完整性检查，在未经用户许可的情况下强制向Chrome和Edge浏览器安装恶意扩展。该软件已持续活跃一年多，最早可追溯至2025年年中。
据Elastic Security Labs研究人员介绍，感染链通常始于用户打开伪装成银行收据、发票、付款记录或其他商务文档的JavaScript文件。通过反沙箱检查后，文件触发虚假错误提示，后台下载Node.js并创建计划任务建立持久化机制，还从以太坊智能合约获取后续载荷下载地址。
成功安装后，扩展伪装成名为“AVSync”的程序，可窃取浏览器Cookie、本地存储和会话存储数据，记录网页表单文本包括密码，截取屏幕截图和网页源代码，收集标签页与浏览历史，并拦截HTTP请求体和请求头、注入攻击者控制的HTML内容。研究人员通过注册KREMLIN用作反沙箱“探针”的域名，成功干扰了当前正在进行的攻击活动。