Banking-Trojaner haben ein neues Lieblingsziel: den Browser. Aktuell zeigt die Malware-Kampagne KREMLIN, wie effektiv das funktioniert. Deshalb führt für Admins im Microsoft-Umfeld kein Weg daran vorbei, Chrome-Erweiterungen mit Intune zu verwalten und Edge zusätzlich über Microsoft Defender abzusichern. Denn klassischer Virenschutz und ein starkes Passwort reichen längst nicht mehr aus, wenn Angreifer direkt die aktive Browser-Session kapern.
Kurzeinordnung: Was ist KREMLIN und warum Browser das neue Hauptziel sind
Elastic Security Labs hat die Kampagne unter dem Namen REF9334 dokumentiert. Die Gruppe gibt sich seit mindestens Mai 2025 als eines von rund einem Dutzend brasilianischer Banken aus und verteilt darüber ihre Malware-Toolkit KREMLIN. Ziel ist nicht mehr nur das klassische Abgreifen von Zugangsdaten, sondern der komplette Diebstahl aktiver Session-Token direkt aus Chrome und Edge. Damit umgeht die Malware selbst funktionierende Multi-Faktor-Authentifizierung, weil sie einfach eine bereits authentifizierte Session übernimmt. Genau deshalb gelten Browser inzwischen als eines der attraktivsten Angriffsziele überhaupt.
Technische Funktionsweise: Wie die Malware Chrome und Edge kapert
Der Angriff beginnt harmlos: Eine JavaScript-Datei tarnt sich als Rechnung oder Bankdokument und wird vom Opfer manuell ausgeführt. Anschließend startet ein mehrstufiger Loader, der zunächst prüft, ob er in einer Sandbox oder VM läuft. Ist das nicht der Fall, richtet die Malware Persistenz über einen geplanten Task ein und ruft anschließend eine Ethereum-Smart-Contract-Adresse ab, um aktuelle C2-Domains und Payload-Standorte zu erhalten. Diese Nutzung der Blockchain als “Dead-Drop-Resolver” macht die Infrastruktur extrem widerstandsfähig gegen klassisches Takedown.
Von dort lädt die Malware drei Komponenten nach: einen Installer für die bösartige Browser-Erweiterung, einen .NET-PE-Injector sowie eine legitime SentinelOne-Binary, die für DLL-Sideloading missbraucht wird. Konkret lädt die signierte Datei eine unsignierte, als “SentinelAgentCore.dll” getarnte Payload nach – ein klassischer Fall von Living-off-the-Land, der signaturbasierte Erkennung aushebelt.
Der eigentliche Clou liegt in der Installation der Erweiterung selbst. Über die als “Phantom Extension” beziehungsweise “GhostChrome-X” bekannte Technik manipuliert die Malware die Secure-Preferences-Datei von Chrome, aktiviert den Entwicklermodus und regeneriert die benötigten HMACs im JSON-Objekt “protection.macs”. So wird die manipulierte Konfiguration von Chromium als vertrauenswürdig akzeptiert, ohne dass der Integritätsschutz anschlägt. Bemerkenswert: Dieselbe Technik nutzte auch die China-nahe Gruppe APT31 im Rahmen des BlueMoon-Exploit-Kits, um die Credential-Stealer-Erweiterung GemStone zu installieren.
Einmal aktiv, fordert die Erweiterung “AVSync System Inc.” weitreichende Rechte auf Tabs, Cookies, Storage und die webRequest-API an. Danach exfiltriert sie Cookies, sessionStorage, localStorage, Screenshots, den Browserverlauf und den vollständigen HTML-Quelltext aktiver Tabs – kommuniziert wird per WebSocket sowie über getarnte Requests, die wie harmlose CSS-Dateien aussehen.
Warum klassischer Endpoint-Schutz und Passwort-Hygiene hier nicht reichen
Signaturbasierte Antivirus-Lösungen greifen bei dieser Angriffskette kaum, weil legitime, signierte Binaries missbraucht werden und die eigentliche Payload erst zur Laufzeit nachgeladen wird. Zudem hilft auch ein starkes Passwort nichts, wenn die Malware direkt die aktive Session kapert – MFA wird schlicht umgangen. Wie Angreifer Session-Token gezielt stehlen und wie du deine Entra-ID-Umgebung dagegen absicherst, erklären wir ausführlich im Artikel Session-Token-Diebstahl: Wie Malware MFA aushebelt. Deshalb braucht es mehrere Verteidigungslinien gleichzeitig: Browser-Härtung, Endpoint Detection und Identity-Schutz.
Intune-Richtlinien zur Browser-Härtung
ExtensionInstallBlocklist und Allowlist
Der wirksamste Hebel ist eine strikte Extension-Allowlist statt einer reinen Blocklist. Über Intune-Konfigurationsprofile lassen sich die Chrome- und Edge-ADMX-Vorlagen so einstellen, dass grundsätzlich nur freigegebene Erweiterungen installiert werden dürfen. Ein einfaches Beispiel, wie die zugrunde liegenden Registry-Werte aussehen, die Intune auf verwalteten Geräten setzt:
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallBlocklist]
"1"="*"
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallAllowlist]
"1"="aapbdbdomjkkjkaonfhkkikfgjllcleb"
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallBlocklist]
"1"="ndpbidppejfanjbhfgjlohfanbfbklff"Die zweite Blocklist-Zeile blockt konkret die im KREMLIN-Report dokumentierte Extension-ID “ndpbidppejfanjbhfgjlohfanbfbklff” – ein gutes Beispiel dafür, wie du bekannte Indicators of Compromise direkt operationalisierst. In Intune findest du die passenden Policy-Namen im Settings Catalog unter den Kategorien “Google Chrome” und “Microsoft Edge”.
Managed Bookmarks und Force-Install
Zusätzlich solltest du über “ExtensionInstallForcelist” nur geprüfte Erweiterungen zentral ausrollen und mit “ManagedBookmarks” den Zugriff auf vertrauenswürdige Portale vorgeben. So reduzierst du die Angriffsfläche erheblich, ohne die Produktivität einzuschränken.
Entwicklermodus und Sideloading sperren
Die von KREMLIN missbrauchte Technik setzt voraus, dass der Chrome-Entwicklermodus aktivierbar ist. Über die Richtlinie “ExtensionDeveloperModeSettings” lässt sich das Aktivieren des Entwicklermodus für Extensions unterbinden. Ergänzend schränkt “ExtensionInstallSources” ein, aus welchen Quellen Erweiterungen überhaupt geladen werden dürfen – im Idealfall ausschließlich der Chrome Web Store beziehungsweise Microsoft Edge Add-ons. Details zu den einzelnen Policy-Objekten findest du in der offiziellen Edge-Policy-Referenz von Microsoft.
Microsoft Defender for Endpoint: Relevante ASR-Regeln
Attack Surface Reduction Regeln setzen genau an den Stellen an, an denen KREMLIN technisch angreifbar ist: dem JavaScript-Loader und dem Nachladen ausführbaren Codes. Folgende Regeln solltest du im Blockmodus aktivieren:
Set-MpPreference -AttackSurfaceReductionRules_Ids D3E037E1-3EB8-44C8-A917-57927947596D -AttackSurfaceReductionRules_Actions Enabled
Set-MpPreference -AttackSurfaceReductionRules_Ids 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC -AttackSurfaceReductionRules_Actions Enabled
Set-MpPreference -AttackSurfaceReductionRules_Ids 9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2 -AttackSurfaceReductionRules_Actions Enabled
Set-MpPreference -AttackSurfaceReductionRules_Ids E6DB77E5-3DF2-4CF1-B95A-636979351E5B -AttackSurfaceReductionRules_Actions EnabledDie erste Regel blockiert das Nachladen ausführbaren Inhalts durch JavaScript oder VBScript, die zweite verhindert obfuskierte Skriptausführung, die dritte schützt lsass.exe vor Credential-Diebstahl und die vierte unterbindet Persistenz über WMI-Event-Subscriptions. Alle vier lassen sich zentral über Intune-Endpoint-Security-Profile ausrollen. Die vollständige Liste inklusive GUIDs findest du in der Microsoft-Learn-Referenz zu ASR-Regeln.
Zusätzliche Verteidigungslinie: Conditional Access und Token Protection
Selbst mit sauber gehärtetem Browser solltest du davon ausgehen, dass irgendwann eine Session doch kompromittiert wird. Deshalb ist Token Protection in Entra ID Conditional Access ein wichtiger zusätzlicher Baustein: Sie bindet Zugriffstoken an das jeweilige Gerät, sodass gestohlene Cookies auf einem anderen Rechner nicht mehr funktionieren. Wie du das konkret einrichtest, liest du im vertiefenden Beitrag Session-Token-Diebstahl: Wie Malware MFA aushebelt und wie Sysadmins ihre Entra-ID-Umgebung schützen. Ergänzend solltest du Risky Sign-ins und Password Protection aktiv überwachen, denn KREMLIN zielt am Ende auch auf klassische Zugangsdaten ab.
Erkennung: Kompromittierte Erweiterungen und gekaperte Sessions identifizieren
Über Microsoft Defender for Endpoint und Advanced Hunting lassen sich verdächtige Prozessketten aufspüren, etwa signierte Tools wie SentinelOne-Binaries, die untypische, unsignierte DLLs nachladen. Achte in KQL-Abfragen gezielt auf Prozesse, die kurz nach dem Start ungewöhnliche ausgehende Verbindungen zu neuen, kaum bekannten Domains aufbauen – ein typisches Muster für C2-Kommunikation, wie wir es auch im Artikel Malware per Telegram gesteuert beschrieben haben. Zusätzlich solltest du regelmäßig das Extension-Inventar in Intune beziehungsweise im Edge-Admin-Portal prüfen und unbekannte Erweiterungs-IDs mit Threat-Intelligence-Feeds abgleichen. Bei einem bestätigten Fund gilt: sofort isolieren, Extension über Blocklist unternehmensweit sperren und den Vorfall gemäß deinem Incident Response Plan abarbeiten.
Praxis-Checkliste: Sofortmaßnahmen und langfristige Härtung
- Extension-Allowlist statt Blocklist einführen und über Intune erzwingen
- ExtensionDeveloperModeSettings und ExtensionInstallSources restriktiv konfigurieren
- Relevante ASR-Regeln im Blockmodus über Defender for Endpoint ausrollen
- Token Protection und Conditional Access in Entra ID aktivieren
- Extension-Inventar regelmäßig gegen aktuelle IOCs prüfen
- Advanced Hunting Queries für DLL-Sideloading und ungewöhnliche WebSocket-Verbindungen einrichten
- Mitarbeiter für Fake-Rechnungen und JS-Anhänge sensibilisieren
FAQ
Wie kann ich Chrome-Erweiterungen mit Intune zentral verwalten?
Über die Chrome- und Edge-ADMX-Vorlagen im Intune Settings Catalog lassen sich ExtensionInstallBlocklist, Allowlist und Forcelist zentral setzen. So bestimmst du genau, welche Erweiterungen installiert werden dürfen.
Was ist die KREMLIN-Malware?
KREMLIN ist eine seit Mai 2025 aktive brasilianische Banking-Malware, die Chrome und Edge über eine bösartige Erweiterung kapert und Cookies, Session-Token sowie Zugangsdaten stiehlt.
Reicht Microsoft Defender allein gegen Browser-Hijacking aus?
Nein. Defender for Endpoint mit ASR-Regeln reduziert die Angriffsfläche deutlich, sollte aber immer mit Browser-Härtung über Intune und Conditional Access in Entra ID kombiniert werden.
Woran erkenne ich eine kompromittierte Browser-Erweiterung?
Auffällig sind unbekannte Extension-IDs im Inventar, weitreichende Berechtigungsanfragen für Tabs und Cookies sowie ungewöhnliche Netzwerkverbindungen kurz nach der Installation.