KREMLIN 뱅킹 악성코드, Chrome·Edge 하이재킹으로 자격증명과 세션 토큰 탈취

사이버보안 연구원들이 KREMLIN이라는 툴킷을 배포하는, 이전까지 문서화된 바 없던 브라질 뱅킹 악성코드 작전의 실체를 밝혔다.

Elastic Security Labs는 이 활동을 REF9334라는 이름으로 추적하고 있다. 최소 2025년 5월부터 활동한 이 위협 행위자는 브라질 은행 12곳을 사칭하는 미끼를 사용해 Google Chrome과 Microsoft Edge에 악성 브라우저 확장 프로그램을 설치한다.

보안 연구원 Cyril François와 Andrew Pease는 The Hacker News와 공유한 기술 보고서에서 다음과 같이 밝혔다. "KREMLIN 악성코드 생태계는 다단계 JavaScript 로더, 커스텀 C++ 인스톨러, 악성 브라우저 확장 프로그램을 활용해 자격증명·세션 토큰·민감 데이터를 탈취한다."

"악성 브라우저 확장 프로그램은 Secure Preferences를 조작하고 필요한 HMAC 및 앱 바운드(App-Bound) 암호화 해시를 재생성해 Chromium의 무결성 메커니즘을 우회한다."

이 작전의 핵심적인 특징은 위협 행위자가 제어하는 인프라를 숨기기 위해 블록체인을 활용한다는 점이다. 이더리움 스마트 계약을 데드드롭 리졸버(dead drop resolver)로 이용해 C2(명령·제어) 엔드포인트와 페이로드 호스팅 위치를 동적으로 업데이트함으로써 차단이 불가능하도록 한다.

KREMLIN의 시작점은 뱅킹·청구서·회사 문서로 위장한 JavaScript 파일로, 피해자가 직접 실행한다. 실행되면 다단계 로더가 작동하는데, 샌드박스나 가상 머신 환경에서는 실행을 중단하며, 추가 페이로드를 다운로드·설치한 뒤 다음 단계를 실행한다.

2단계는 네 가지 작업을 수행하도록 설계되었다: 예약된 작업을 통한 지속성 확보, 이더리움 스마트 계약에서 다운로드 위치 조회, 해당 위치에서 필요한 바이너리 다운로드, 그리고 3단계 실행. 페이로드 URL에는 다음 프로그램들이 호스팅된다.

• 악성 브라우저 확장 프로그램 인스톨러 페이로드
• .NET PE 인젝터
• DLL 사이드로딩에 사용되는 SentinelOne의 정상 바이너리 "SentinelAgentCore.dll"

구체적으로, C++ 인스톨러는 SentinelOne 바이너리를 악용해 서명되지 않은 메인 페이로드를 사이드로딩하며, 이 페이로드는 "SentinelAgentCore.dll"을 사칭한다. DLL이 실행되면 JavaScript 로더와 유사하게 실행 중인 프로세스 목록을 스캔하고 CPU 수·RAM 용량 등 하드웨어 속성을 확인해 샌드박스 및 가상 머신 회피 검사를 수행한다.

실행 중인 프로세스 중 하드코딩된 목록과 일치하는 항목이 있거나, 시스템의 CPU가 2개 미만이거나 RAM이 3GB를 초과하지 않으면 악성코드는 실행을 종료한다. KREMLIN은 동일한 이더리움 스마트 계약에 접속해 두 도메인 — volmira[.]site와 zaviro[.]online — 을 가져오며, 전자에 쿼리해 브라우저 확장 프로그램 버전("1.0.0")과 ID("ndpbidppejfanjbhfgjlohfanbfbklff")를 획득한다. 해당 확장 프로그램은 "AVSync System Inc."라는 이름을 사용한다.

연구원들은 "아카이브를 다운로드하기 전에 악성코드는 확장 프로그램이 이미 설치되어 있는지 확인하고, 설치되어 있다면 설치된 버전과 서버가 보고한 버전을 비교한다. 로컬에 설치된 것이 없거나 버전이 다를 경우에만 다운로드한다. 이후 Chrome 확장 프로그램을 ZIP 아카이브로 다운로드한다"고 설명했다.

Chromium 기반 브라우저에 확장 프로그램을 설치하기 위해, 공개적으로 문서화된 무결성 우회 기법인 Phantom Extension과 GhostChrome-X를 사용해 Secure Preferences 보호 메커니즘을 우회한다. Secure Preferences 파일을 수정하고, Chrome의 개발자 모드를 활성화하며, "protection.macs" JSON 객체를 위조된 메타데이터로 업데이트해 악성 Chrome 확장 프로그램을 등록하는 방식이다.

동일한 방식이 2026년 8월 말 중국 연계 APT31 행위자의 캠페인에서도 사용된 바 있다. 해당 캠페인은 현재 패치된 Chrome·Windows 제로데이로 구성된 BlueMoon 익스플로잇 킷을 활용해 GemStone이라는 자격증명 탈취 브라우저 확장 프로그램을 설치했다.

확장 프로그램이 설치되면 KREMLIN은 C2 서버("luizestrelhashapr[.]online:443")로 각 프로필의 브라우저 데이터를 수집·유출하기 시작하며, 그 전에 브라우저 탭·쿠키·스토리지·webRequest API에 대한 광범위한 접근 권한을 요청한다. 또한 고유한 피해자 식별자를 생성해 브라우저 스토리지에 저장하고 C2 통신에 포함시킨다.

C2 서버와 WebSocket 채널을 수립한 후 확장 프로그램이 지원하는 명령은 다음과 같다.

• 선택된 탭 또는 활성 탭의 스크린샷을 촬영하고 압축 이미지를 업로드
• 탭·도메인·활성 상태를 열거하고 목록을 업로드
• 선택된 탭 또는 활성 탭에서 쿠키·sessionStorage·localStorage 탈취
• 최근 15일간의 히스토리 최대 1,000개 수집 (확장 프로그램 매니페스트에 history 권한이 없어 실패할 가능성 높음)
• 선택된 탭 또는 활성 페이지의 전체 HTML 소스 추출 및 업로드
• 공격자가 제어하는 HTML 다운로드
• 설정 갱신

WebSocket 외에도 확장 프로그램은 CSS 파일 요청으로 위장한 요청을 통해 "/google_api/" 엔드포인트를 주기적으로 폴링한다. 각 경로는 특정 명령에 매핑된다.

• 108766d0.css — 쿠키 및 스토리지 업로드
• 41f7b187.css — 탭 ID·도메인·활성 탭 상태 업로드
• b83fa72d.css — 최근 15일간의 압축된 브라우저 히스토리 업로드
• 0f51ad2f.css — 압축된 JPEG 스크린샷과 페이지 URL·클라이언트 ID 업로드
• e4cce14e.css — 압축된 전체 페이지 HTML과 페이지 URL·클라이언트 ID 업로드
• 6c0c92f6.css — 가로채인 요청 업로드
• 81d47cb6.css — 도메인 목록과 HTTP 인터셉션 규칙을 담은 타기팅 설정 조회
• a98cb43d.css — 목적지 URL을 포함한 리다이렉션 규칙 조회

KREMLIN 배후의 행위자들은 최소 2025년 5월부터 활동한 것으로 평가되며, Pulsar RAT·Remcos RAT 같은 기성 트로이목마 배포도 포함된다. 이더리움 스마트 계약으로의 전환은 2026년 5월 19일에 이루어진 것으로 알려졌다. 2025년 6월 16일 이후 총 7개의 독립적인 캠페인이 해당 그룹에 귀속되었다.

안티샌드박스 메커니즘의 일환으로, 악성코드는 등록되지 않은 도메인의 페이지 다운로드를 시도하는 네트워크 카나리아 검사를 수행한다. 즉, 유효한 응답을 받으면 네트워크 연결을 시뮬레이션하는 샌드박스일 가능성이 높다고 판단해 악성코드가 의도적으로 충돌을 일으킨다.

Elastic은 네트워크 카나리아 도메인을 직접 등록해 해당 도메인으로 체크인을 시도한 1,515개의 감염 시스템을 식별했다. 해당 시스템의 98% 이상이 브라질로 지리적 위치가 확인되었다.

Elastic은 "이들 시스템은 KREMLIN의 최종 구성 요소에 여전히 감염된 상태지만, 이번 조치로 해당 캠페인의 방어 우회 메커니즘이 일시적으로 저하·교란되어 방어자들이 감염된 엔드포인트를 식별하고 치료할 추가 시간을 확보할 수 있을 것"이라고 밝혔다.