【ITニュース解説】KREMLIN Banking Malware Hijacks Chrome and Edge to Steal Credentials and Session Tokens

最近のサイバーセキュリティの動向として、新たなバンキングマルウェア「KREMLIN」の登場が注目されている。これは、これまで詳細が明らかにされていなかったブラジルを拠点とするサイバー攻撃グループが使用しているツールキットであり、その活動についてサイバーセキュリティ研究者が調査結果を発表した。

このKREMLINは、特定の種類のマルウェア、つまり悪意のあるソフトウェアの一種で、特に金融機関の顧客を狙い、銀行口座に関連する情報を盗み出すことを目的としている。KREMLINの活動は少なくとも2025年5月から確認されており、Elastic Security Labsというセキュリティ企業が「REF9334」という識別名でこの脅威アクター、つまりサイバー攻撃を行う主体を追跡・監視している。

KREMLINの攻撃手法は、まずユーザーを欺く「ルアー」と呼ばれる巧妙な手口から始まる。これは、多くのブラジル国内の銀行になりすました偽のウェブサイトや電子メールを使い、ユーザーを特定の行動へと誘導するものだ。例えば、銀行からの正規の通知やセキュリティ警告を装い、ユーザーに悪意のあるウェブサイトへアクセスさせたり、ファイルをダウンロードさせたりする。

この攻撃の核心は、ユーザーが使用するウェブブラウザに不正な「ブラウザ拡張機能」をインストールさせる点にある。ブラウザ拡張機能とは、Google ChromeやMicrosoft Edgeといったウェブブラウザに機能を追加するための小さなプログラムのことだ。通常、ブラウザ拡張機能は便利な機能を提供するために利用されるが、KREMLINの場合は、この仕組みを悪用してユーザーの知らないうちにマルウェアを送り込む。

ユーザーが悪意のあるルアーに騙され、この不正なブラウザ拡張機能をインストールしてしまうと、ブラウザが「ハイジャック」された状態になる。ここでいうハイジャックとは、ブラウザの通常の動作やセキュリティ設定が攻撃者によって乗っ取られ、意図しない挙動をするようになることを指す。具体的には、攻撃者はインストールされた不正な拡張機能を通じて、ユーザーのブラウザの挙動を監視したり、特定の情報を盗み出したりできるようになる。

KREMLINの主な目的は、ユーザーの「認証情報」と「セッショントークン」の窃取だ。認証情報とは、ウェブサイトやサービスにログインするために必要なIDとパスワードの組み合わせを指す。これが盗まれると、攻撃者は正規のユーザーになりすまして、銀行口座や他の重要なサービスに不正にログインできるようになる。

さらに深刻なのは、セッショントークンの窃取だ。セッショントークンとは、ウェブサイトに一度ログインした後に、そのログイン状態を維持するために発行される一時的な情報のことだ。通常、ウェブブラウザはこのトークンを安全に保持し、ユーザーがウェブサイトの異なるページにアクセスしたり、一時的にブラウザを閉じたりしても、再度ログイン情報を入力することなく、ログイン済みの状態を保てるようにする。KREMLINのようなマルウェアがこのセッショントークンを盗むと、攻撃者はユーザーのIDやパスワードを直接知らなくても、盗んだトークンを使って、あたかも本人であるかのように銀行のウェブサイトにログインできてしまう危険性がある。これは、既に有効なログイン情報が手に入った状態と等しく、非常に深刻な被害につながる可能性がある。

このKREMLINが特に狙っているウェブブラウザは、世界中で広く利用されているGoogle ChromeとMicrosoft Edgeだ。これらのブラウザの脆弱性を突くか、またはユーザーを騙して不正な拡張機能をインストールさせることで、攻撃を成功させている。

今回のニュースは、サイバーセキュリティの脅威が常に進化していることを改めて示している。システムエンジニアを目指す者にとって、このような最新の攻撃手法を理解することは非常に重要だ。ユーザーインターフェースを通じてマルウェアを送り込む手口や、ブラウザの拡張機能という一般的な機能が悪用される事例は、ソフトウェア開発やシステム設計において、セキュリティを最優先に考慮することの必要性を強く訴えかけている。また、ユーザーがセキュリティ意識を高め、不審なリンクやソフトウェアには安易にアクセス・インストールしないよう教育することも、システム全体の安全を守る上で欠かせない要素となる。