Equipes de segurança cibernética revelaram recentemente uma operação de malware bancário previamente não documentada, focada no mercado brasileiro, que utiliza uma ferramenta chamada KREMLIN. A atividade é rastreada pelos pesquisadores da Elastic Security Labs sob o moniker REF9334 e está ativa desde, no mínimo, maio de 2025. O grupo de ameaças emprega iscas que se passam por uma dúzia de bancos brasileiros e instala uma extensão maliciosa no Google Chrome e no Microsoft Edge para roubar credenciais e tokens de sessão.
Descoberta e escopo da operação REF9334
A descoberta desta campanha de malware bancário marca um desvio significativo nas táticas de cibercrime direcionadas ao setor financeiro brasileiro. Tradicionalmente, os atacantes focavam em phishing via e-mail ou sites falsos de login. No entanto, a operação REF9334, identificada pela Elastic Security Labs, demonstra uma evolução técnica ao comprometer diretamente o ambiente do navegador do usuário. A persistência da ameaça desde maio de 2025 sugere uma infraestrutura madura e um planejamento de longo prazo, indicando que as vítimas podem ter sido afetadas por um período considerável antes da detecção pública.
O escopo da operação é geograficamente direcionado, com iscas que impersonam especificamente bancos brasileiros. Isso indica um conhecimento profundo do ecossistema financeiro local e uma estratégia de engenharia social refinada para maximizar a taxa de conversão das vítimas. A escolha de alvos específicos, em vez de ataques genéricos, sugere que os atacantes podem estar buscando dados de alto valor ou contas com saldos significativos, ou talvez estejam testando novas técnicas de exfiltração em um ambiente controlado antes de escalar.
Vetor de ataque e exploração técnica
O vetor principal de infecção identificado é a instalação de uma extensão maliciosa em navegadores populares, especificamente Google Chrome e Microsoft Edge. Ao contrário de malwares que exigem a execução de arquivos executáveis (.exe ou .dll) que podem ser bloqueados por soluções de endpoint, as extensões de navegador muitas vezes operam com privilégios elevados dentro do contexto do navegador, permitindo que leiam o conteúdo das páginas web, interceptem formulários de login e capturem cookies de sessão.
A técnica de sequestro de navegador (browser hijacking) permite que o malware KREMLIN intercepte credenciais digitados em sites bancários legítimos. Além disso, ao roubar tokens de sessão, os atacantes podem contornar autenticações adicionais, como o login único (SSO) ou autenticação multifator (MFA) baseada em sessão, mantendo o acesso às contas bancárias mesmo após a troca de senha. A persistência é mantida através da instalação da extensão, que pode sobreviver a reinicializações do computador e, em alguns casos, até mesmo a atualizações do navegador, dependendo de como a extensão foi injetada no perfil do usuário.
Impacto e alcance no setor financeiro brasileiro
O impacto direto desta campanha é a perda financeira para as vítimas e a exposição de dados sensíveis de clientes de instituições financeiras. A natureza do malware, que foca em credenciais e tokens de sessão, coloca em risco a integridade das transações bancárias online. Para as instituições financeiras afetadas, isso representa um risco reputacional significativo e potencial responsabilidade legal, especialmente sob a ótica da Lei Geral de Proteção de Dados (LGPD), que exige a notificação de incidentes de segurança que possam causar risco ou dano relevante aos titulares.
Além disso, a operação REF9334 pode ter implicações sistêmicas se a extensão maliciosa for distribuída através de um canal de atualização comprometido ou se houver uma vulnerabilidade de dia zero explorada na instalação da extensão. A capacidade de roubar tokens de sessão é particularmente preocupante, pois permite que os atacantes mantenham o acesso às contas por longos períodos, realizando transferências e alterações de dados sem que o usuário perceba a intrusão.
Medidas de mitigação recomendadas
Para mitigar os riscos associados ao malware KREMLIN e à operação REF9334, as organizações e usuários individuais devem adotar as seguintes medidas de segurança:
- Revisão de Extensões do Navegador: Usuários devem revisar as extensões instaladas no Google Chrome e Microsoft Edge, removendo qualquer extensão que não seja reconhecida ou necessária para o trabalho. Verificar a data de instalação e as permissões concedidas é crucial.
- Monitoramento de Tráfego de Rede: Equipes de SOC devem monitorar o tráfego de saída de estações de trabalho e servidores, buscando conexões para domínios suspeitos ou IPs associados a atividades de exfiltração de dados.
- Atualização de Software: Garantir que os navegadores estejam atualizados para a versão mais recente, pois as correções de segurança frequentemente incluem proteções contra a instalação não autorizada de extensões.
- Educação do Usuário: Treinar usuários finais para identificar sinais de phishing e não instalar extensões de fontes não confiáveis, especialmente aquelas que prometem funcionalidades bancárias ou de segurança.
- Autenticação Multifator (MFA): Implementar MFA baseado em hardware ou aplicativos de autenticação, que são menos suscetíveis a roubo de tokens de sessão do que códigos SMS ou e-mail.
Perguntas frequentes sobre a ameaça
Como saber se meu navegador foi comprometido?
Verifique as extensões instaladas nas configurações do navegador. Procure por extensões com nomes genéricos, que não foram instaladas por você ou que têm permissões excessivas, como "Ler e alterar todos os dados nos sites".
Devo trocar minha senha bancária?
Se houver suspeita de que você visitou um site falso ou instalou uma extensão suspeita, altere sua senha imediatamente e revise o histórico de transações recentes.
Qual é o risco para empresas?
Para empresas, o risco é duplo: perda de dados de clientes e potencial violação de contratos de serviço. A LGPD exige notificação à ANPD e aos afetados em caso de vazamento de dados, o que pode resultar em multas significativas.