重點整理
- KREMLIN 木馬偽裝成發票或銀行文件，誘騙使用者安裝惡意擴充功能。
- 該木馬能竊取瀏覽器帳號密碼、Cookie 及工作階段權杖，甚至截圖。
- 駭客利用以太坊智能合約隱藏指令伺服器，使傳統防毒軟體難以封鎖。
- 中小企業應嚴格管理瀏覽器擴充功能，並提升員工對可疑附件的警覺。
每天使用 Chrome 或 Edge 瀏覽器處理公司網銀、登入後台或查看客戶資料時，您是否想過，瀏覽器本身可能已經變成偷取機密的「內鬼」？近期資安研究員發現一款名為 KREMLIN 的銀行木馬，專門針對瀏覽器下手。雖然目前主要鎖定巴西的銀行客戶，但其偷取帳號與登入憑證的手法，對所有依賴網路辦事的中小企業主與行銷人員來說，都是一大警訊。
KREMLIN 木馬如何潛入你的電腦？
這款木馬的感染途徑其實並不複雜，主要依賴「社會工程學」，也就是利用人性的弱點來騙取信任。駭客會將惡意程式偽裝成銀行通知、發票或公司內部文件，誘騙員工或使用者親自點擊執行。
一旦點擊，程式就會在背景偷偷安裝惡意的「瀏覽器擴充功能」（一種用來增加瀏覽器功能的小程式，但壞人會利用它來監控或偷取資料）。它會繞過 Chrome 和 Edge 瀏覽器的安全檢查機制，強行將這個惡意擴充功能安裝到你的電腦裡。
它會偷走什麼？為什麼這麼難防？
安裝成功後，KREMLIN 就會開始大肆搜刮你的瀏覽器資料。它不僅能偷取你的帳號和密碼，還會偷走 Cookie 以及「工作階段權杖」（Session tokens，一種讓你不用重新輸入密碼就能保持登入狀態的憑證）。這意味著，即使你改了密碼，駭客仍可能透過竊取的權杖直接登入你的帳戶。
除了偷帳號，這個惡意擴充功能還能對你正在看的網頁進行螢幕截圖、偷看網頁原始碼，甚至攔截你的網路請求。
為什麼資安專家說它很難防？因為 KREMLIN 使用了一種非常進階的隱藏技巧：它利用「以太坊智能合約」（一種寫在區塊鏈上、自動執行的程式）來隱藏駭客的指令伺服器位址。這讓傳統的防毒軟體或防火牆很難直接封鎖它的通訊。此外，它還會檢查你的電腦是不是在虛擬機或沙盒（一種用來隔離測試可疑程式的安全環境）裡運行，如果是，它就會停止作惡，藉此躲避資安人員的檢測。
中小企業如何保護自己？
雖然目前 KREMLIN 的受害者有超過 98% 位於巴西，但這種「偷取瀏覽器資料」的技術門檻正在降低，隨時可能出現針對台灣企業後台或網銀的變種。企業主不能抱有僥倖心態，必須從管理與技術雙管齊下。
崴米的建議
面對越來越聰明的瀏覽器木馬，崴米設計從顧問角度，提供您三個可以馬上著手的防護建議：
- 嚴格管理瀏覽器擴充功能：建議公司 IT 或行政人員設定政策，限制員工電腦只能安裝公司核准的瀏覽器擴充功能，並定期檢查已安裝的清單，移除不明或久未更新的擴充功能。
- 提升員工對可疑附件的警覺：建立內部規範，要求員工在打開信件中的發票、報表或文件附件前，務必確認寄件者身分。若對檔案來源有疑慮，請先向主管或 IT 人員確認，不要習慣性地點擊。
- 定期進行網站與後台資安健檢：即使員工電腦不慎中毒，若公司的官方網站與後台系統有做好基本的資安防護與權限控管，也能大幅降低資料被側錄或遭駭客深入破壞的風險。建議定期檢視網站安全設定，確保企業數位資產的安全。
參考來源：KREMLIN Banking Malware Hijacks Chrome and Edge to Steal Credentials and Session Tokens
