Pengguna Google Chrome dan Microsoft Edge perlu mewaspadai malware yang memanfaatkan browser untuk mencuri data sensitif. Peneliti keamanan siber dari Elastic Security Labs mengungkap operasi malware yang dikenal sebagai KREMLIN, yang dirancang mengambil berbagai informasi dari browser korban.

Aktivitas yang dilacak sebagai REF9334 ini telah berlangsung setidaknya sejak Mei 2025. Serangannya menggunakan file yang menyamar sebagai dokumen perbankan, invoice, atau dokumen perusahaan untuk mendorong korban menjalankan file berbahaya.

Setelah masuk ke perangkat, KREMLIN dapat memasang ekstensi browser berbahaya yang memberikan akses luas terhadap aktivitas pengguna.

KREMLIN Mengincar Berbagai Data di Browser

Browser kini digunakan untuk berbagai aktivitas penting, mulai dari mengakses email dan internet banking hingga layanan perusahaan. Akibatnya, browser juga menyimpan banyak informasi yang dapat menjadi sasaran penyerang.

KREMLIN memanfaatkan kondisi tersebut dengan memasang ekstensi yang dapat mengakses sejumlah data, seperti:

• Cookie browser.
• Session storage dan local storage.
• Informasi tab dan situs yang sedang dibuka.
• Riwayat browser.
• Screenshot halaman aktif.
• Kode HTML halaman yang sedang dibuka.
• Permintaan jaringan tertentu.

Kemampuan tersebut membuat ancaman KREMLIN tidak terbatas pada pencurian username dan password. Data sesi dan informasi yang sedang digunakan pengguna juga dapat ikut terekspos.

Baca Juga: Hacker Sebar Malware lewat Google Captcha Palsu

Serangan Dimulai dari File yang Menyamar sebagai Dokumen

KREMLIN memulai infeksi melalui file JavaScript yang dibuat menyerupai dokumen biasa. File tersebut dapat dikaitkan dengan kebutuhan perbankan, invoice, atau aktivitas perusahaan.

Ketika korban menjalankan file tersebut, malware akan menjalankan beberapa tahap untuk mengunduh dan memasang komponen berikutnya. Malware juga memeriksa perangkat untuk mendeteksi sandbox atau virtual machine sebelum melanjutkan proses.

Tahap serangan tersebut mencakup:

• Menjalankan loader JavaScript secara bertahap.
• Memeriksa karakteristik perangkat.
• Membuat persistence melalui scheduled task.
• Mengunduh payload tambahan.
• Memasang ekstensi browser berbahaya.

Karena prosesnya diawali tindakan pengguna, file dari sumber yang tidak dikenal menjadi salah satu risiko utama.

Ekstensi Berbahaya Dapat Mengakses Aktivitas Chrome dan Edge

Salah satu komponen utama KREMLIN adalah ekstensi browser yang menggunakan nama AVSync System Inc. Ekstensi ini ditujukan untuk browser berbasis Chromium, termasuk Chrome dan Edge.

Peneliti menemukan bahwa malware memanfaatkan teknik untuk memodifikasi konfigurasi browser sehingga ekstensi dapat dipasang tanpa memicu mekanisme perlindungan tertentu.

Setelah aktif, ekstensi dapat:

• Mengambil cookie dan data penyimpanan sesi.
• Mengumpulkan daftar tab dan domain.
• Mengambil screenshot.
• Mengumpulkan riwayat browser.
• Mengambil HTML halaman.
• Mengintersep permintaan tertentu.

Data yang dikumpulkan kemudian dapat dikirim ke server yang dikendalikan penyerang melalui koneksi yang disamarkan sebagai lalu lintas web biasa.

Baca Juga: ClickFix Ancam Pengguna Windows dan Mac, Kenali Modusnya

Cookie dan Sesi Login Menjadi Risiko Krusial

Pencurian cookie dan data sesi menjadi perhatian karena informasi tersebut dapat berkaitan dengan status login pengguna pada suatu layanan. KREMLIN dapat mengambil cookie, session storage, dan local storage dari tab yang aktif.

Artinya, ketika pengguna membuka akun penting melalui browser yang terinfeksi, informasi terkait sesi tersebut dapat ikut menjadi target.

Untuk mengurangi risiko, pengguna dapat melakukan beberapa langkah sederhana:

• Jangan menjalankan file JavaScript dari sumber yang tidak dikenal.
• Periksa lampiran email sebelum membukanya.
• Hindari memasang ekstensi browser yang tidak jelas asalnya.
• Periksa ekstensi Chrome dan Edge secara berkala.
• Perbarui browser dan sistem operasi.
• Aktifkan autentikasi multifaktor pada akun penting.
• Pantau aktivitas login dan perangkat yang terhubung.

KREMLIN Menggunakan Teknik untuk Menghindari Deteksi

Selain mencuri data, KREMLIN juga memiliki mekanisme untuk menghindari pemeriksaan keamanan. Malware dapat memeriksa jumlah CPU, kapasitas RAM, proses yang berjalan, serta kondisi koneksi jaringan.

KREMLIN juga menggunakan Ethereum smart contract untuk memperoleh informasi mengenai infrastruktur command-and-control dan lokasi payload. Menurut peneliti, metode ini mulai digunakan pada 19 Mei 2026.

Elastic Security Labs mengidentifikasi 1.515 sistem yang mencoba terhubung ke domain network canary dalam operasi tersebut. Lebih dari 98% sistem yang terdeteksi berada di Brasil.

Temuan ini menunjukkan bahwa browser perlu menjadi bagian dari perhatian keamanan digital. Perlindungan tidak cukup hanya dilakukan pada akun, tetapi juga pada file, ekstensi, perangkat, dan aktivitas browsing yang dapat menjadi pintu masuk pencurian data.