Estensione malevola Chrome, nemmeno la verifica in due passaggi basta
Controlla le estensioni del browser prima che lo faccia qualcun altro. Un file travestito da fattura basta a installare un componente invisibile che entra nei tuoi account senza password e senza codici di conferma.
Cambi password, attivi la verifica in due passaggi e ti senti al sicuro. Poi arriva un’estensione malevola Chrome che non ha bisogno di nessuna delle due cose. Si chiama KREMLIN e punta sul furto dei cookie di sessione, cioè dei piccoli file che dicono a un sito che hai già fatto l’accesso. Con quelli in mano, chi ti attacca entra nei tuoi account come se fosse te, senza login e senza codici di conferma.
Kremlin malware, cosa hanno scoperto i ricercatori
A documentare il kremlin malware sono stati i ricercatori di Elastic Security Labs, che seguono la campagna con la sigla REF9334. L’operazione è attiva almeno da maggio 2025 e ha un’origine precisa, il Brasile. Le esche imitano una dozzina di banche brasiliane, e infatti su 1.515 computer infetti individuati, il 98% si trova proprio lì.
Per l’Italia il rischio diretto oggi è basso. Il problema è che la tecnica funziona su Chrome e Edge ovunque, e niente impedisce che venga copiata da altri gruppi con esche in italiano. Una buona notizia comunque c’è. Elastic è riuscita a sfruttare un controllo interno del malware per fermare l’avanzamento delle infezioni osservate, anche se i PC già colpiti restano da ripulire.
Come arriva un’estensione malevola Chrome sul tuo PC
Tutto comincia con un file che sembra innocuo. Una ricevuta bancaria, una fattura, un pagamento, un documento aziendale. In realtà è un file JavaScript, e appena lo apri mostra un finto messaggio di errore. Intanto, dietro le quinte, scarica Node.js, crea un’attività pianificata per restare nel sistema e recupera il resto del codice.
È lo stesso principio dei documenti trappola che girano da anni, come spieghiamo nella guida ai PDF malevoli e a come riconoscerli. Cambia il formato, non l’inganno. Ti fidi del contenuto e lo apri.
Un dettaglio curioso riguarda i server di controllo. Gli indirizzi non sono scritti nel malware ma conservati in uno smart contract su Ethereum. Una blockchain non si spegne come un normale sito, e questo rende molto più difficile tagliare le comunicazioni con i computer infetti.
Il trucco che la fa sembrare approvata
La parte più insidiosa arriva dopo. KREMLIN installa nel browser un’estensione chiamata AVSync System Inc. e riesce ad aggirare i controlli di integrità di Chromium. Il browser la carica come se l’avessi installata e approvata tu. Per farlo inserisce l’estensione nel profilo, attiva la modalità sviluppatore e rigenera le firme che servono a far sembrare regolare la configurazione.
A quel punto il kremlin malware raccoglie password salvate, dati dei moduli e soprattutto i cookie. Qui sta il salto di qualità. Con il furto dei cookie di sessione l’accesso è già stato fatto, quindi l’autenticazione a due fattori non entra nemmeno in gioco. Se ti è già capitato di trovare accessi strani, vale la pena leggere cosa fare quando hai un’email compromessa.
Estensioni Chrome ed Edge pericolose, non è un caso isolato
KREMLIN è solo l’ultimo di una serie. A fine agosto Socket aveva scoperto 19 estensioni chrome ed edge pericoloseche rubavano wallet crypto, credenziali e sessioni. Cinque erano nate come strumenti del tutto normali, poi sono state comprate dagli attaccanti, che hanno infilato il codice malevolo con un semplice aggiornamento automatico.
Il messaggio è chiaro. Il browser ormai custodisce banca, email, social e lavoro, e le estensioni Chrome ed Edge pericolose sono diventate la porta d’ingresso preferita per chi vuole mettere le mani su tutto questo in un colpo solo.
Come controllare il browser e rimuovere malware Chrome
La prima regola è anche la più semplice. Non aprire file con estensione .js arrivati come fatture o ricevute, soprattutto se non aspettavi nulla. Una banca non ti manda mai un documento in JavaScript.
Poi dai un’occhiata alle estensioni. Apri il menu con i tre puntini in alto a destra, vai su Estensioni e poi su Gestisci estensioni, sia su Chrome sia su Edge, ed elimina tutto quello che non riconosci. Se l’interruttore della modalità sviluppatore è acceso e tu non l’hai mai toccato, è un campanello d’allarme serio.
Per rimuovere malware Chrome non basta però cancellare l’estensione, perché con KREMLIN il problema parte dal PC. Serve una scansione completa con un antivirus aggiornato.
Proteggi il tuo PC
AVG Ultimate, antivirus e VPN in un unico pacchetto
Scansiona il PC contro malware e ransomware, blocca i siti di phishing e protegge fino a 10 dispositivi tra Windows, Mac, Android e iOS. Usa il codice MREFN per uno sconto esclusivo.
Scopri l’offerta AVG UltimateDa un dispositivo pulito conviene poi cambiare le password più importanti e usare la funzione che chiude tutte le sessioni attive, disponibile su Google, Microsoft e sulla maggior parte dei servizi. Solo così il furto dei cookie di sessione smette di fare danni, perché le vecchie sessioni non valgono più. Altre notizie di questo tipo le trovi tra le ultime notizie tech del sito.
📌 Potrebbe interessarti anche:
Estensione malevola chrome
NordVPN con Threat Protection
Oltre a cifrare la connessione, blocca siti malevoli e download sospetti prima che arrivino sul PC. Usa il codice MREFN per uno sconto esclusivo.
Scopri l’offerta NordVPNUn’estensione malevola Chrome oggi non ha bisogno di rubarti la password per svuotarti l’account. Due minuti per controllare le estensioni installate valgono più di qualsiasi password complicata, e il momento migliore per farlo è adesso. Se poi dovessi rimuovere malware Chrome, meglio farlo prima che qualcuno usi le tue sessioni al posto tuo.
Ti è piaciuto questo articolo?
Seguici per restare aggiornato su tech, smartphone e streaming – senza perderti nulla.
Commento all'articolo