Elastic Security Labs’ın izlediği KREMLIN kampanyası, en az Mayıs 2025’ten bu yana tarayıcı oturum belirteçleri, kimlik bilgileri ve hassas verileri hedef alıyor. Operasyon, Google Chrome ve Microsoft Edge’e kötü amaçlı uzantı yükletmek için kendisini Brezilya’daki bir düzine bankanın faturası, şirket belgesi ya da hesap bildirimi gibi gösteren yemler kullanıyor.
Araştırmacılar Cyril François ve Andrew Pease, saldırı zincirinin çok katmanlı JavaScript yükleyiciler, özel C++ kurucular ve kötü amaçlı tarayıcı eklentilerinden oluştuğunu belirtiyor. Zincirin sonunda saldırganlar, tarayıcıların oturum çerezleri, session token’ları ve kullanıcı verileri üzerinde tam erişim elde etmeye çalışıyor.
JavaScript yükleyiciden Ethereum tabanlı komuta altyapısına
Saldırı, kurbanın manuel olarak çalıştırdığı bir JavaScript dosyasıyla başlıyor. Dosya, banka dekontu, fatura veya şirket evrakı gibi görünerek açtırılıyor. İlk aşama, sanal makine ya da sandbox içinde çalışıp çalışmadığını kontrol ediyor; ortam analiz aracına benziyorsa ilerlemeyi durduruyor. Kontrolü geçen sistemlerde ise ek yükleri indirip sonraki aşamayı başlatıyor.
İkinci aşama dört iş yapıyor: kalıcılık sağlamak için zamanlanmış görev oluşturuyor, indirme adreslerini bir Ethereum akıllı sözleşmesinden çekiyor, gerekli ikili dosyaları bu adreslerden indiriyor ve üçüncü aşamayı çalıştırıyor. Bu noktada saldırganlar blokzinciri, komuta-kontrol altyapısını gizlemek için kullanıyor. Ethereum sözleşmeleri, hem C2 uçlarını hem de yük barındırma konumlarını dinamik biçimde güncelleyen birer dead drop resolver gibi işliyor. Böylece altyapı birden fazla noktaya dağıtıldığı için tek bir kaynağa müdahale etmek zorlaşıyor.
İndirilen bileşenler arasında kötü amaçlı tarayıcı eklentisi kurucusu, .NET PE injector ve SentinelOne ile ilişkili meşru SentinelMemoryScanner.exe bulunuyor. C++ kurucu, imzasız ana yükü yan yükleme tekniğiyle çalıştırmak için bu SentinelOne ikili dosyasını kötüye kullanıyor. Ana DLL ise kendisini “SentinelAgentCore.dll” gibi gösteriyor.
DLL devreye girdikten sonra benzer sandbox ve sanal makine kaçınma kontrolleri yapıyor. Çalışan süreçleri tarıyor, işlemci sayısı ve RAM kapasitesi gibi donanım özelliklerini inceliyor. Hafızadaki listedeki süreç adlarından biri eşleşirse ya da sistemde 2 CPU bulunmaz, RAM 3 GB’ı aşmazsa çalışma sonlandırılıyor.
KREMLIN, aynı Ethereum sözleşmesini kullanarak iki alan adı daha çekiyor: volmira[.]site ve zaviro[.]online. İlk alan adı üzerinden tarayıcı eklentisinin sürüm bilgisi ile kimliği alınıyor. Araştırmacıların aktardığına göre sürüm “1.0.0”, eklenti kimliği ise “ndpbidppejfanjbhfgjlohfanbfbklff”. Eklenti tarayıcı içinde “AVSync System Inc.” adıyla görünüyor.
Sistem üzerinde aynı eklentinin yüklü olup olmadığını kontrol eden kötü amaçlı yazılım, yerel sürüm ile sunucudan bildirilen sürüm uyuşuyorsa indirme yapmıyor. Yerel kurulum bulunmazsa ya da sürümler farklıysa Chrome eklentisini ZIP arşivi olarak indiriyor. Araştırmacılar, indirme öncesinde arşivin yalnızca gerekli durumda çekildiğini, ardından Chrome uzantısının kurulum için hazırlandığını aktarıyor.
Chromium koruması atlatılıyor, veriler WebSocket ve CSS kılığıyla çıkıyor
Uzantıyı Chromium tabanlı tarayıcılara kurmak için açıkça belgelenmiş bir bütünlük atlatma yöntemi kullanılıyor. Phantom Extension ve GhostChrome-X olarak anılan bu yöntem, Secure Preferences mekanizmasını doğrudan tetiklemeden eklentinin kayıt edilmesini sağlıyor. Saldırganlar Secure Preferences dosyasını değiştiriyor, Chrome’un geliştirici modunu açıyor ve “protection.macs” JSON nesnesine sahte meta veri ekleyerek kötü amaçlı eklentiyi sisteme tanıtıyor.
Aynı yöntemin, Çin bağlantılı APT31 grubunun Ağustos 2026’nın sonlarında yürüttüğü ve artık yamalanmış Chrome ile Windows sıfır günlerini kullanan BlueMoon istismar kitine dayanan kampanyada da görüldüğü aktarılıyor. O kampanyada GemStone kod adlı, kimlik avı amacıyla tarayıcı eklentisi yükleyen bir bileşen kullanılmıştı.
Eklenti kurulduktan sonra KREMLIN, her tarayıcı profili için veri toplamaya ve bunları komuta sunucusuna göndermeye başlıyor. İletişim adresi olarak luizestrelhashapr[.]online:443 kullanılıyor. Eklenti bunun öncesinde sekmelere, çerezlere, depolama alanlarına ve webRequest API’sine geniş erişim istiyor. Ayrıca kurban için benzersiz bir kimlik üretiyor ve bunu tarayıcı depolamasına yazıyor.
Uzantı, C2 sunucusuyla bir WebSocket kanalı kurduktan sonra çeşitli komutları yerine getiriyor. Seçili ya da aktif sekmenin ekran görüntüsünü alıp sıkıştırılmış şekilde yüklüyor, sekmeleri ve alan adlarını envanterleyip aktiflik durumuyla birlikte iletiyor, seçili sekmeden ya da aktif sekmeden çerezleri, sessionStorage ve localStorage verilerini çıkarıyor. Ayrıca son 15 güne ait en fazla 1.000 geçmiş kaydını toplamaya çalışıyor; araştırmacılar bunun büyük olasılıkla başarısız olacağını, çünkü eklenti manifestinde history izninin bulunmadığını söylüyor. Bunun yanında seçili ya da aktif sayfanın tam HTML kaynağını dışarı aktarıyor, saldırgan kontrollü HTML indiriyor ve yapılandırmayı yeniliyor.
Kötü amaçlı eklenti yalnızca WebSocket’le konuşmuyor. Zaman zaman /google_api/ uç noktasını CSS dosyası indiriyormuş gibi görünen isteklerle yokluyor. Bu yolların her biri ayrı bir komuta eşlenmiş durumda. 108766d0.css çerez ve depolama verilerini, 41f7b187.css sekme kimliklerini ve etkin sekme durumunu, b83fa72d.css son 15 güne ait sıkıştırılmış tarayıcı geçmişini, 0f51ad2f.css sıkıştırılmış JPEG ekran görüntüsünü ve sayfa URL’siyle istemci kimliğini, e4cce14e.css sıkıştırılmış tam sayfa HTML’yi, 6c0c92f6.css yakalanmış isteği, 81d47cb6.css alan adları ve HTTP kesiştirme kuralları içeren hedefleme yapılandırmasını, a98cb43d.css ise yönlendirme kurallarını çekmek için kullanılıyor.
Elastic’in değerlendirmesine göre KREMLIN arkasındaki aktörler en az Mayıs 2025’ten beri faal. Aynı dönemde kötü amaçlı tarayıcı uzantıları kurdukları ve piyasada bulunan Pulsar RAT ile Remcos RAT gibi uzaktan erişim truva atlarını dağıttıkları da görülmüş. Ethereum akıllı sözleşmelerine geçişin 19 Mayıs 2026’da başladığı belirtiliyor. 16 Haziran 2025’ten bu yana gruba yedi ayrı kampanya atfedildi.
Operasyonun sandbox karşıtı mekanizması ayrıca bir ağ kanarya denetimi yapıyor. Kötü amaçlı yazılım, kayıtlı olmayan bir alan adından sayfa indirmeye çalışıyor; geçerli bir yanıt alırsa, ağ bağlantısını taklit eden bir analiz ortamında olduğunu varsayıp bilerek çöküyor. Elastic, bu kanarya alan adını kaydettikten sonra 1.515 enfekte sistemin buraya bağlanmaya çalıştığını saptadığını açıkladı. Bu sistemlerin yüzde 98’inden fazlası Brezilya’da konumlanıyor.
Şirket, hâlâ KREMLIN’in son bileşeniyle enfekte durumda olan bu sistemlerin, kampanyanın savunma mekanizmalarını geçici olarak zayıflattığını ve güvenlik ekiplerine bulaşmış uç noktaları tespit etmek için ek zaman kazandırabileceğini belirtti.