KREMLIN peut installer une extension malveillante dans Chrome et Microsoft Edge sans demander l’autorisation de l’utilisateur. Actif depuis 2025, ce malware est capable de contourner les mécanismes de protection de Chromium avant de récupérer cookies, mots de passe, historique de navigation et données saisies dans les formulaires. Les chercheurs d’Elastic Security Labs ont identifié au moins sept campagnes liées à cette menace.
KREMLIN se cache derrière de faux documents financiers
L’infection commence souvent par un fichier JavaScript présenté comme un document légitime. Reçu bancaire, facture, justificatif de paiement ou document professionnel : tout est fait pour pousser la victime à l’ouvrir.
Une fois exécuté, le fichier déclenche plusieurs vérifications destinées à détecter la présence d’un environnement d’analyse ou d’une sandbox.
KREMLIN affiche ensuite un faux message d’erreur tout en téléchargeant Node.js sur la machine. Le malware crée également une tâche planifiée afin de pouvoir continuer à fonctionner après un redémarrage.
Une mécanique discrète. Et surtout persistante.
Les attaquants utilisent aussi des smart contracts Ethereum pour récupérer certaines informations nécessaires au téléchargement de charges malveillantes supplémentaires. Cette méthode permet de modifier une partie de l’infrastructure utilisée par l’attaque sans dépendre d’un serveur unique.
Chrome et Edge peuvent recevoir l’extension sans aucune validation
La particularité de KREMLIN se trouve dans sa capacité à installer directement une extension dans les navigateurs basés sur Chromium, notamment Google Chrome et Microsoft Edge.
Le malware ne passe pas simplement par une fausse page du Chrome Web Store.
Il attend que le navigateur soit fermé ou détecte une période d’inactivité. Si nécessaire, il peut même terminer le processus du navigateur avant de copier son extension dans le dossier du profil concerné.
KREMLIN active ensuite le mode développeur et modifie le fichier « Secure Preferences » de Chromium afin d’y enregistrer l’extension.
C’est là que l’attaque devient particulièrement sophistiquée.
Chromium utilise des contrôles cryptographiques pour détecter les modifications non autorisées de certaines préférences. KREMLIN est capable de reconstruire ces contrôles d’intégrité à l’aide des clés employées par le navigateur.
Le résultat est trompeur : Chrome ou Edge peut charger l’extension comme si celle-ci avait été ajoutée normalement par l’utilisateur.
Cette affaire arrive alors que les extensions de navigateur font déjà l’objet d’une attention particulière. Menow avait récemment signalé 19 extensions Chrome malveillantes capables de voler des mots de passe et des cryptomonnaies. Chrome : 19 extensions contenaient des malwares capables de voler mots de passe et cryptomonnaies
L’extension AVSync peut récupérer cookies et mots de passe
Une fois installée, l’extension malveillante se fait passer pour un logiciel baptisé AVSync.
Ses capacités vont bien au-delà d’une simple collecte de données de navigation.
Elle peut récupérer les cookies, le Local Storage et le Session Storage du navigateur. Ces informations sont particulièrement sensibles puisqu’elles peuvent contenir des éléments liés aux sessions ouvertes sur différents services.
Le vol d’une session peut parfois permettre à un attaquant d’accéder à un compte sans avoir directement besoin du mot de passe. Ce type de menace a également été observé avec des logiciels capables de détourner des sessions déjà authentifiées dans un navigateur. Claude touché par un vol de sessions : les pirates peuvent vider vos quotas sans votre mot de passe
KREMLIN dispose également d’une fonction de keylogging. Les caractères tapés dans des formulaires peuvent donc être enregistrés, ce qui expose directement les identifiants et mots de passe saisis par la victime.
L’extension peut aussi consulter les onglets ouverts et l’historique de navigation.
Et ce n’est pas tout.
Elle est capable de réaliser des captures d’écran, récupérer le code source des pages Web visitées et intercepter certains corps et en-têtes de requêtes HTTP.
KREMLIN peut aussi modifier les pages consultées
L’extension ne se contente pas d’observer ce qui se passe dans Chrome ou Edge.
Elle peut également injecter du contenu HTML contrôlé par les attaquants dans une page Web affichée par la victime. Des clics peuvent être redirigés vers d’autres sites choisis par les pirates.
Une communication via WebSocket permet par ailleurs à l’extension de recevoir des commandes externes.
Autrement dit, une fois la machine compromise, le navigateur peut devenir un point d’entrée particulièrement puissant pour surveiller l’activité de l’utilisateur et manipuler certaines interactions avec les sites visités.
Les mots de passe enregistrés dans Chrome méritent donc une attention particulière après une infection. Il est notamment possible de retrouver et vérifier ses identifiants depuis le gestionnaire de mots de passe Google. Mots de passe Google : retrouver, modifier et gérer les identifiants enregistrés
Au moins sept campagnes KREMLIN repérées depuis 2025
Les activités associées à KREMLIN remontent au moins à mai 2025. Elastic Security Labs indique avoir suivi l’opération pendant quinze mois et identifié sept campagnes.
Les éléments étudiés orientent principalement vers des attaques visant le secteur bancaire brésilien. Douze banques auraient été usurpées dans différents leurres utilisés par les attaquants.
Les chercheurs ont également réussi à perturber une campagne en enregistrant un domaine utilisé par le malware comme mécanisme de contrôle. Leur intervention aurait permis d’interrompre temporairement plus de 1 500 infections liées à la campagne analysée. (Elastic)
KREMLIN illustre surtout une évolution inquiétante : une extension malveillante n’a plus forcément besoin d’obtenir un clic sur « Installer » pour se retrouver dans le navigateur.
Une extension inconnue dans Chrome doit attirer l’attention
Les faux documents financiers constituent l’un des principaux points d’entrée observés. Une facture inattendue, un reçu bancaire ou un justificatif de paiement envoyé sous forme de fichier JavaScript doit donc être traité avec une grande prudence.
Il est également utile de contrôler régulièrement la liste des extensions présentes dans Chrome ou Edge, notamment lorsqu’un module inconnu apparaît sans explication.
Le danger n’est pas uniquement théorique. Google a récemment dû corriger de nombreuses vulnérabilités dans son navigateur, dont une faille zero-day activement exploitée. Google met Chrome à jour en urgence après la découverte d’une nouvelle faille dangereuse
Avec KREMLIN, la menace va plus loin : le malware cherche directement à convaincre Chromium que son extension est légitime.
Un simple coup d’œil à la liste des extensions peut donc être utile, mais il ne suffit pas toujours. En cas de comportement inhabituel du navigateur ou après l’ouverture d’un fichier suspect, vérifier la machine avec une solution de sécurité et contrôler les comptes sensibles reste particulièrement prudent.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
