KREMLIN이라는 멀웨어 툴킷이 Chrome과 Edge 브라우저에 사용자 승인 없이 악성 확장 프로그램을 강제로 설치합니다. 이 멀웨어는 브라우저가 민감한 설정을 보호하는 데 쓰는 암호화 키를 빼내어 무결성 검사(위변조 여부를 확인하는 절차)를 통째로 속이는 방식을 사용합니다. 설치된 확장 프로그램은 비밀번호·쿠키·세션 토큰을 탈취하고 키로깅(입력 내용 기록), 스크린샷 캡처, HTTP 요청 가로채기까지 수행합니다. 2025년 5월부터 활동 중인 브라질 기반 조직이 12개 은행을 사칭한 가짜 문서로 피해자를 유인하며, 현재까지 1,515개 시스템 감염이 확인되었습니다. Elastic Security Labs가 멀웨어의 안티샌드박스 도메인을 선점 등록해 현재 캠페인은 차단된 상태이며, 침해지표(IOC)와 공격 기법을 공개했습니다.
브라질 기반 위협 행위자가 KREMLIN 툴킷을 이용해 Chrome·Edge 브라우저에 악성 확장 프로그램(AVSync 위장)을 무단 설치하는 뱅킹 멀웨어 캠페인을 2025년 5월부터 최소 7차례 운영했다.
쿠키·세션 토큰·비밀번호·스크린샷·브라우저 히스토리 탈취, 키로깅, HTTP 요청 가로채기, 웹페이지 HTML 조작이 가능하며, 1,515개 시스템 감염이 확인됐다(대부분 브라질 소재).
은행 영수증·인보이스 등으로 위장한 JavaScript 파일 실행 후 Node.js 설치 및 예약 작업으로 지속성 확보, Ethereum 스마트 컨트랙트를 C2 주소 은닉에 악용한다. 브라우저의 암호화 키를 탈취해 Chromium의 무결성 검사(HMAC·암호화 해시)를 재생성함으로써 악성 확장을 정상으로 위장한다.
Elastic Security Labs가 멀웨어의 안티샌드박스 카나리 도메인을 선점 등록해 현재 캠페인을 차단했고, 공격 전술·기법 및 IOC를 공개했다.
출처 불명의 JavaScript 파일 실행을 차단하고, 브라우저 확장 프로그램 목록을 정기 감사해야 한다. Elastic이 공개한 IOC를 EDR·방화벽에 즉시 적용하고, Ethereum 스마트 컨트랙트 기반 C2 트래픽 탐지 규칙 추가를 검토한다.
본문
2025년 중반부터 활동 중인 뱅킹 멀웨어 조직이 KREMLIN이라는 툴킷을 사용해 악성 Chrome·Edge 확장 프로그램을 설치하고 있습니다. 이 확장 프로그램은 자격 증명, 세션 토큰, 민감한 데이터를 탈취합니다.
Elastic Security Labs 연구원들은 이 악성 확장 프로그램이 Chromium의 무결성 메커니즘을 우회해 사용자가 승인한 것처럼 브라우저에 로드된다는 사실을 발견했습니다.
감염 체인은 표적 사용자가 은행 영수증, 인보이스, 결제 기록, 또는 업무 문서로 위장한 JavaScript 파일을 열면서 시작됩니다.
안티샌드박스 검사를 통과한 뒤, 해당 파일은 가짜 오류를 표시하는 동시에 Node.js를 내려받고, 예약 작업을 통해 지속성을 확보하며, Ethereum 스마트 컨트랙트에서 추가 페이로드 위치를 가져옵니다.
이름과 달리 KREMLIN은 2025년 5월 이후 최소 7개 캠페인을 운영하며 12개 은행을 사칭한 미끼를 사용하는 브라질 기반 조직과 연계된 것으로 확인됐습니다.
Chrome·Edge 부가기능 설치 방법
KREMLIN의 두드러진 특징은 사용자 승인 없이 Chrome·Edge 브라우저에 확장 프로그램을 설치하는 능력입니다.
멀웨어는 브라우저가 닫힐 때까지 기다리거나 유휴 상태를 감지하면 강제로 종료한 뒤, 앱의 프로필 디렉터리에 확장 프로그램을 복사합니다. 이후 개발자 모드를 활성화하고 Chromium의 Secure Preferences에 확장 프로그램을 등록합니다.
활동을 숨기기 위해 멀웨어는 브라우저가 민감한 데이터를 보호하는 데 사용하는 암호화 키를 탈취한 뒤, Chrome이 브라우저 환경설정 변경을 감지하는 데 사용하는 무결성 검사를 재생성합니다.
이를 통해 악성 확장 프로그램은 사용자의 승인을 받은 적이 없음에도 브라우저에 유효한 것처럼 보이게 됩니다. 연구원들에 따르면 이는 문서화된 기법이지만 멀웨어에서 거의 사용되지 않는 방식입니다.
Elastic은 다음과 같이 설명합니다. "KREMLIN은 멀웨어에서 거의 관찰되지 않는 문서화된 기법을 사용합니다. 확장 프로그램을 브라우저 프로필 디렉터리에 수동으로 복사하고 Secure Preferences 파일에 등록하는 방식입니다."
"Chromium은 이러한 항목을 암호화 무결성 검사로 보호하기 때문에, 멀웨어는 필요한 키를 탈취하고 관련 HMAC 및 암호화 해시를 재생성해야 합니다."
설치가 완료되면 확장 프로그램은 AVSync로 위장하며 다음 동작을 수행합니다:
- 쿠키, 로컬 스토리지, 세션 스토리지 탈취
- 비밀번호를 포함해 양식에 입력된 텍스트 키로깅
- 스크린샷 및 페이지 소스 캡처
- 열린 탭과 브라우징 기록 열거
- HTTP 요청 본문 및 헤더 가로채기
- 웹사이트에 공격자가 제어하는 HTML 주입
- 클릭을 공격자가 선택한 목적지로 리디렉션
- WebSocket 연결을 통해 명령 수신
악성 확장 프로그램 외에도 KREMLIN 툴킷은 인포스틸러로도 작동해 브라우저 데이터베이스, 쿠키, 설치된 확장 프로그램, 보호된 데이터를 복호화하는 데 필요한 App-Bound 암호화 키를 압축·유출할 수 있습니다.
REF9334 공격 체인 개요
출처: Elastic
작전 방해
Elastic Security Labs 연구원들은 KREMLIN 멀웨어 캠페인이 Ethereum 스마트 컨트랙트를 데드드롭 리졸버(C2 주소를 숨기는 중간 저장소)로 사용하고, Internet Archive 서비스를 악용해 JPEG 이미지 안에 페이로드를 숨긴다는 사실을 발견했습니다.
최근 캠페인에서 위협 행위자는 REMCOS 원격 접근 도구(RAT)를 배포했으나, 과거 작전에서는 Pulsar RAT을 사용했습니다. 연구원들에 따르면 REMCOS가 더 풍부한 기능을 갖추고 있어 전환한 것으로 보입니다.
인프라 분석과 코드 아티팩트를 통해 연구원들은 스마트 컨트랙트를 배포하고 업데이트한 Ethereum 지갑을 추적했습니다.
연구원들에 따르면 해당 지갑에서 약 20,800 USDT(테더)의 입금과 19,000 USDT의 출금이 처리됐습니다. Elastic은 1,515개의 감염 시스템을 확인했으며, 거의 대부분이 브라질에 위치합니다.
보안 회사는 멀웨어가 안티샌드박스 카나리로 사용하는 도메인을 선점 등록해 현재 KREMLIN 캠페인을 방해하는 데 성공했습니다. 이로 인해 감염 대상이 될 수 있는 시스템에서도 로더가 오탐(false flag)으로 인해 실행을 중단합니다.
Elastic Security Labs 연구원들은 KREMLIN 공격에 사용된 전술·기법과 침해지표(IOC) 세트를 공개했습니다.
AI 기반 공격에 대한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들과 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 어떻게 기계 속도로 검증·결정·수정·재검증할 것인지 다룹니다.
자리를 예약하세요
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
