Nutzer sollten äußerst wachsam bei unerwarteten Downloads und verdächtigen Dokumenten (Banken, Rechnungen, Firmen) sein und keine unbekannten Dateien ausführen.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
- Belegte Angriffskette ueber 5 Kill-Chain-Phasen+6
- Betrifft KRITIS-nahe Branche: finanzen+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
KREMLIN Banking Malware Hijacks Chrome and Edge to Steal Credentials and Session Tokens
Eine neue Banking-Malware namens KREMLIN, aktiv seit Mai 2025, zielt auf Nutzer von Google Chrome und Microsoft Edge ab. Sie stiehlt Anmeldeinformationen und Sitzungstoken, indem sie bösartige Browser-Erweiterungen installiert. Betroffen sind vor allem Nutzer brasilianischer Banken, die durch gefälschte Dokumente zur manuellen Ausführung der Malware verleitet werden. Nutzer sollten wachsam bei unerwarteten Downloads sein und keine unbekannten Dateien ausführen.
SecBoard-Einordnung
Diese Malware kann Anmeldeinformationen und Sitzungstoken stehlen, was zu unbefugtem Zugriff auf Bankkonten und andere Online-Dienste führen kann. Die Methode der Browser-Erweiterung ermöglicht eine persistente Überwachung und Datendiebstahl.
Realistisch schlimmster Fall: Der schlimmste Fall ist der vollständige Verlust von Bankguthaben und der Kompromittierung weiterer Online-Konten durch gestohlene Anmeldeinformationen und Sitzungstoken.
Empfehlung: Nutzer sollten äußerst wachsam bei unerwarteten Downloads und verdächtigen Dokumenten (Banken, Rechnungen, Firmen) sein und keine unbekannten Dateien ausführen. Regelmäßige Überprüfung installierter Browser-Erweiterungen und deren Berechtigungen ist ebenfalls ratsam.
Im erfassten Bestand
- ▸5. erfasste Meldung zu ZIRCONIUM innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Nutzer von Google Chrome und Microsoft Edge, insbesondere Kunden brasilianischer Banken, die durch gefälschte Dokumente zur Ausführung der Malware verleitet werden.
Prüfen
3- ▸Überprüfen Sie die installierten Browser-Erweiterungen in Google Chrome und Microsoft Edge auf unbekannte oder verdächtige Einträge.
- ▸Stellen Sie sicher, dass Antiviren- und Endpoint-Detection-and-Response-Lösungen (EDR) auf dem neuesten Stand sind und verdächtige ausführbare Dateien blockieren.
▸ 1 weitere▾ weniger
- ▸Schulen Sie Mitarbeiter im Umgang mit Phishing-E-Mails und verdächtigen Dokumenten, insbesondere solchen, die zur manuellen Ausführung von Dateien auffordern.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Dateitypen für die gefälschten Dokumente verwendet werden.
- ▸Der genaue Verbreitungsmechanismus der gefälschten Dokumente (z.B. E-Mail, Messaging-Dienste) ist nicht detailliert.
- ▸Es wird nicht angegeben, ob die Malware auch andere Browser als Chrome und Edge angreift oder ob es sich um eine plattformübergreifende Bedrohung handelt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Möglich
Kundenfragen
- Haben wir Windows extern erreichbar?
- Können wir Reconnaissance detektieren?
- Können wir Resource Development detektieren?
Erwähnte Akteure & Werkzeuge
MITRE ATT&CK(17)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Sie stiehlt Anmeldeinformationen und Sitzungstoken, indem sie bösartige Browser-Erweiterungen installiert.“
„die durch gefälschte Dokumente zur manuellen Ausführung der Malware verleitet werden.“
„Sie stiehlt Anmeldeinformationen und Sitzungstoken“
„Sie stiehlt Anmeldeinformationen und Sitzungstoken“
„Betroffen sind vor allem Nutzer brasilianischer Banken, die durch gefälschte Dokumente zur manuellen Ausführung der Malware verleitet werden.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
2
Bewaffnung
6
Zustellung
0
Ausnutzung
2
Einnistung
1
Fernsteuerung
1
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.