Chrome dan Edge Dibajak Malware KREMLIN, Password dan Token Sesi Jadi Incaran

Browser biasanya menjadi pintu utama menuju berbagai layanan digital. Kita membuka Chrome atau Edge untuk email, media sosial, marketplace, cloud storage, sampai internet banking.

Masalahnya, ketika browser berhasil dikuasai malware, penyerang tidak selalu perlu mengetahui password secara langsung. Data login yang tersimpan, cookie, token sesi, bahkan aktivitas browsing bisa menjadi sasaran.

Situasi inilah yang ditemukan peneliti keamanan pada sebuah kampanye malware yang menggunakan toolkit bernama KREMLIN.

Malware KREMLIN Menarget Chrome dan Edge

Menurut laporan keamanan yang dirangkum TechRadar dan ditelusuri Elastic Security Labs, operasi yang dikenal sebagai REF9334 telah aktif setidaknya sejak Mei 2025.

Salah satu komponen pentingnya adalah ekstensi browser berbahaya yang dapat masuk ke Google Chrome dan Microsoft Edge.

Menariknya, nama KREMLIN tidak berarti malware ini berasal dari Rusia. Elastic menjelaskan bahwa nama tersebut berasal dari identitas toolkit yang digunakan operator. Kampanyenya justru dikaitkan dengan aktivitas perbankan yang menargetkan pengguna di Brasil.

Bukan Cuma Password yang Dicuri

Yang membuat serangan ini perlu diperhatikan adalah jenis data yang menjadi sasaran.

• Credential atau informasi login browser
• Cookie
• Token dan data sesi
• Aktivitas browsing
• Informasi dari situs yang dikunjungi
• Screenshot pada sistem korban

Token sesi sangat penting karena dapat membuat penyerang memanfaatkan sesi yang sudah terautentikasi tanpa harus selalu memasukkan password dari awal.

Jadi, mengganti password setelah akun terkena serangan memang penting, tetapi pada kasus tertentu pengguna juga perlu memperhatikan sesi login yang masih aktif dan melakukan logout dari perangkat atau sesi yang mencurigakan.

Awalnya Bisa Terlihat Seperti File Biasa

Rantai infeksinya memanfaatkan rekayasa sosial. Korban dapat menerima file JavaScript yang dibuat seolah-olah merupakan dokumen bisnis, invoice, bukti transaksi, atau dokumen perbankan.

Ketika file tersebut dijalankan, proses berikutnya dapat mengambil komponen tambahan dan membangun persistence pada komputer korban.

Peneliti juga menemukan bahwa malware melakukan pemeriksaan terhadap lingkungan seperti sandbox. Jika lingkungan dianggap sebagai tempat analisis, malware dapat menghentikan prosesnya agar lebih sulit diteliti.

Ekstensi Palsu Bernama AVSync System Inc.

Setelah mendapatkan pijakan pada perangkat, malware dapat memasang ekstensi browser berbahaya dengan nama AVSync System Inc.

Nama tersebut sengaja dibuat agar terdengar seperti komponen keamanan atau antivirus. Bagi pengguna biasa, ekstensi semacam ini mungkin terlihat tidak mencurigakan.

Di sinilah salah satu pelajaran pentingnya: jangan hanya melihat nama ekstensi. Periksa siapa pengembangnya, dari mana ekstensi berasal, izin yang diminta, dan apakah memang pernah kita pasang.

Bagaimana Malware Bisa Masuk ke Chrome dan Edge?

Elastic menemukan bahwa toolkit tersebut dapat melewati sejumlah mekanisme integritas Chromium sehingga browser memuat ekstensi seolah-olah ekstensi tersebut telah mendapatkan persetujuan pengguna.

Artinya, pengguna tidak selalu melihat skenario klasik berupa tombol Install extension yang sengaja mereka klik sendiri.

Ini membuat keamanan browser tidak cukup hanya bergantung pada kebiasaan menghapus ekstensi yang terlihat mencurigakan. Keamanan sistem operasi, sumber file yang dibuka, serta software yang terpasang juga ikut menentukan.

Korban yang Ditemukan Didominasi Brasil

Dalam investigasinya, Elastic menemukan sekitar 1.515 sistem yang terinfeksi melalui infrastruktur yang mereka ambil alih untuk penelitian. Sekitar 98 persen sistem tersebut berada di Brasil.

Angka ini tidak berarti seluruh pengguna Chrome dan Edge di negara lain berada dalam kondisi terancam dengan tingkat yang sama. Justru data tersebut menunjukkan bahwa kampanye ini memiliki fokus geografis yang cukup jelas.

Namun tekniknya tetap relevan untuk dipahami pengguna di negara lain karena metode penyebaran malware browser dapat diadaptasi untuk target yang berbeda.

Ethereum Justru Dipakai untuk Menyembunyikan Infrastruktur

Salah satu bagian yang cukup unik adalah cara malware memperoleh informasi mengenai server command-and-control atau C2.

Alih-alih mengandalkan satu alamat server yang mudah diblokir, operator menyimpan konfigurasi tertentu melalui smart contract di jaringan Ethereum.

Pendekatan seperti ini membuat infrastruktur komunikasi lebih sulit diputus hanya dengan memblokir satu server.

Bagi penyerang, blockchain bukan sekadar alat transaksi. Infrastruktur blockchain juga dapat dimanfaatkan sebagai media penyimpanan informasi yang membantu malware menemukan konfigurasi berikutnya.

Kenapa Token Sesi Begitu Berharga?

Bayangkan kamu sudah login ke sebuah layanan penting. Browser menyimpan informasi yang membuat layanan tersebut mengenali perangkat dan sesi kamu.

Jika data autentikasi atau token sesi berhasil dicuri, penyerang dapat mencoba memanfaatkannya untuk mengambil alih sesi yang sedang berlangsung.

Itulah sebabnya keamanan akun modern tidak hanya berbicara soal password.

Kalau kamu sedang membangun kebiasaan keamanan digital yang lebih baik, penggunaan password unik dan pengelolaan kredensial secara aman juga penting. Kamu bisa membaca panduan password manager untuk berbagai akun sebagai bagian dari langkah tersebut.

Apa yang Sebaiknya Dilakukan Pengguna Chrome dan Edge?

Tidak perlu panik hanya karena menggunakan Chrome atau Edge. Laporan ini berkaitan dengan kampanye malware tertentu, bukan berarti kedua browser tersebut otomatis terinfeksi.

Yang lebih penting adalah memperkecil peluang malware mendapatkan akses.

1. Jangan menjalankan file mencurigakan. Invoice, dokumen pembayaran, atau file bisnis yang datang dari sumber tidak dikenal perlu diperiksa sebelum dibuka.
2. Periksa ekstensi browser. Hapus ekstensi yang tidak pernah kamu pasang atau tidak lagi dibutuhkan.
3. Perhatikan izin ekstensi. Ekstensi yang meminta akses luas terhadap situs dan data browsing perlu mendapat perhatian lebih.
4. Perbarui browser dan sistem operasi. Gunakan versi terbaru yang tersedia.
5. Periksa sesi akun. Jika ada indikasi perangkat terinfeksi, logout dari sesi penting dan lakukan pemeriksaan keamanan akun.
6. Gunakan autentikasi tambahan. MFA dapat memberikan lapisan perlindungan tambahan ketika kredensial utama diketahui pihak lain.

Kalau Browser Terasa Aneh, Jangan Langsung Abaikan

Browser yang tiba-tiba membuka halaman tidak dikenal, muncul ekstensi asing, login akun sering terputus, atau terdapat aktivitas akun yang tidak dikenali layak diperiksa lebih lanjut.

Gejala tersebut memang tidak otomatis membuktikan adanya KREMLIN atau malware tertentu. Tetapi perubahan perilaku yang tidak biasa adalah alasan yang cukup untuk melakukan pemeriksaan keamanan.

Hal yang sama berlaku ketika mendapatkan pesan keamanan atau permintaan login yang terlihat mendesak. Serangan modern sering memanfaatkan rasa panik pengguna sebelum mencoba mengambil data autentikasi.

Fenomena serupa juga terlihat pada kampanye phishing yang mengatasnamakan passkey dan layanan autentikasi. Karena itu, memahami cara kerja token sesi dan phishing sama pentingnya dengan sekadar memiliki password yang kuat. Baca juga pembahasan tentang phishing yang mengatasnamakan passkey.

Chrome dan Edge Bukan Masalah Utamanya

Kasus KREMLIN menunjukkan satu hal yang cukup jelas: browser modern menyimpan banyak informasi berharga karena memang dirancang untuk membuat aktivitas online lebih praktis.

Login otomatis, cookie, sesi aktif, password tersimpan, dan berbagai integrasi membuat pengalaman browsing menjadi nyaman. Tetapi data yang sama juga menjadi target menarik ketika perangkat berhasil dikompromikan.

Karena itu, keamanan browser sebaiknya dipandang sebagai bagian dari keamanan akun secara keseluruhan.

Jangan hanya bertanya apakah password sudah aman. Tanyakan juga apakah perangkat, browser, ekstensi, cookie, dan sesi login kamu berada dalam kondisi yang aman.

Kasus KREMLIN mungkin berfokus pada pengguna perbankan di Brasil, tetapi tekniknya memberikan pengingat yang relevan untuk siapa pun yang menyimpan banyak aktivitas digital di dalam browser.