Descoberta e escopo da campanha
O grupo de espionagem Kimsuky foi vinculado a uma nova campanha que transforma uma extensão do Chrome em um coletor silencioso de dados do Gmail. A operação começa com e-mails de phishing convincentes e termina com os atacantes ganhando acesso a mensagens, anexos e ao computador da vítima. A mistura de roubo de navegador e controle remoto torna um único arquivo aberto especialmente arriscado.
A campanha visou pessoas na Coreia do Sul e Japão durante o primeiro semestre de 2026. As vítimas receberam um link de compartilhamento do OneDrive levando a um arquivo contendo um arquivo de atalho do Windows, ou LNK. Abrir o atalho exibia um documento isca enquanto um comando oculto baixava mais malware e estabelecia um ponto de apoio. Analistas da Enki identificaram a atividade e a vincularam ao Kimsuky através de suas ferramentas, direcionamento e padrões operacionais.
Vetor e exploração
A extensão maliciosa, nomeada "Gmail automatic server uploader" em coreano, foi construída para monitorar páginas do Gmail. Seu script de conteúdo observava tanto o painel de leitura de mensagens quanto o botão Enviar. Quando um usuário lia ou enviava uma mensagem, coletava o remetente ou destinatário, assunto, corpo da mensagem e quaisquer anexos. Os anexos eram buscados de seus links, convertidos em uma forma codificada e passados para um script de segundo plano.
Aquele script enviava o material roubado para um servidor controlado pelo atacante, separando o conteúdo da mensagem dos arquivos com uma configuração de tipo. O design significa que os dados podem sair do navegador durante o uso normal de e-mail, sem um aviso visível. Os pesquisadores encontraram comentários detalhados em coreano, texto de depuração e emojis embutidos em todo o JavaScript e arquivos JSON da extensão.
Impacto e alcance
Essas características sugerem fortemente que a IA generativa ajudou a criar grande parte do código. A descoberta ecoa preocupações levantadas em cobertura de extensões de navegador maliciosas com IA, onde add-ons apresentados como ferramentas úteis se tornaram mecanismos de vigilância. A extensão solicitou acesso em todas as URLs em vez de se limitar ao Gmail. Esse alcance amplo daria ao código espaço para executar em outras páginas.
A campanha também instalou o Chrome Remote Desktop e o AnyDesk, programas legítimos que podem fornecer controle remoto total quando mal utilizados. O Chrome Remote Desktop usou uma técnica de bypass de UAC do Windows para executar com privilégios elevados, enquanto o fluxo de trabalho do AnyDesk ocultava sua janela e ícone.
Medidas de mitigação recomendadas
As organizações devem tratar links de compartilhamento inesperados do OneDrive e arquivos de atalho baixados como alto risco, particularmente quando o ícone do arquivo carrega a pequena seta de atalho. A Enki recomenda verificar esses arquivos antes de abri-los e revisar regularmente tarefas agendadas, ferramentas de controle remoto instaladas, processos em execução e extensões do navegador.
Os usuários devem remover extensões desconhecidas e relatar links de e-mail suspeitos em vez de abri-los. As equipes de segurança podem caçar os indicadores listados, bloquear infraestrutura conhecida e verificar hosts para a tarefa e arquivos nomeados antes que os atacantes retornem.
Perguntas frequentes
- Como a extensão rouba dados? Ela monitora painéis de leitura e botões de envio, coletando conteúdo e anexos.
- Qual o papel da IA? Comentários e código sugerem que a IA generativa ajudou a criar a extensão.
- Quais são os IoCs? Hashes MD5, IPs de C2 e tarefas agendadas como Chrome_Update são indicadores chave.
O que os CISOs devem fazer imediatamente
Equipes de segurança devem caçar tarefas agendadas suspeitas, verificar extensões de navegador não autorizadas e monitorar conexões de saída para serviços de hospedagem gratuitos. A revisão de ferramentas de controle remoto legítimas é essencial para detectar uso malicioso.