银行木马利用 KREMLIN 工具强装 Chrome、Edge 恶意扩展，窃取凭据与会话令牌

据 BleepingComputer 2026 年 9 月 17 日报道，一个自 2025 年中期以来持续活跃的银行木马行动，正在使用名为 KREMLIN 的工具包，绕过浏览器相关检查，向 Chrome 与 Edge 强制安装恶意扩展。来源显示，这些扩展的目标包括窃取登录凭据、会话令牌以及其他敏感数据。对普通用户而言，这类攻击的危险之处在于：它并不只是“感染电脑”，还可能直接介入用户的浏览器环境，利用已经登录的网页会话获取账户访问能力。

从隐私与 VPN 用户视角看，此类事件再次说明，浏览器扩展已成为攻击者争夺的关键入口。许多用户习惯在浏览器中处理网银、邮箱、社交平台、云盘与后台系统，一旦恶意扩展被强制植入，它可能接触到页面内容、表单输入、Cookie 或会话状态。即便用户启用了网络加密或使用 VPN，若终端本身已经被恶意软件控制，浏览器内部的数据仍可能在本地被截获。

KREMLIN 工具包为何值得警惕

来源摘要提到，该恶意行动使用 KREMLIN 工具包安装 Chrome 和 Edge 恶意扩展，并通过绕过浏览器检查的方式完成强制安装。浏览器通常会对扩展来源、安装流程和权限请求进行一定限制，但攻击者若能借助恶意软件在系统层面干预，就可能让用户难以及时察觉扩展被添加或配置被篡改。

这类攻击与传统钓鱼页面不同。钓鱼往往依赖用户主动输入账号密码，而恶意扩展可能在用户访问真实网站时窃取信息，甚至获取已登录状态下产生的会话令牌。会话令牌一旦被盗，攻击者有机会绕过部分登录环节，这也是此类银行木马对账户安全构成高风险的原因之一。

对 VPN 用户的影响与误区

VPN 的主要价值在于加密网络传输、降低公共 Wi-Fi 或运营商侧窥探风险，并帮助用户改善网络隐私暴露面。但在这起事件中，风险重点位于终端和浏览器内部：恶意软件先进入设备，再操控浏览器扩展。也就是说，VPN 不能替代反恶意软件、防钓鱼意识和扩展权限管理。

对于经常远程办公、跨境访问业务系统或在公共网络中处理敏感账户的用户，建议把 VPN 视为整体安全策略的一环，而不是唯一防线。RedGate VPN 可作为加密连接的可选方案，但用户仍需要确保设备干净、浏览器扩展可信、系统与浏览器保持更新。网络通道安全不等于终端安全，这一点在浏览器扩展攻击中尤其重要。

用户可以立即检查的安全要点

• 检查 Chrome、Edge 扩展列表，删除不认识、不再使用或权限异常的扩展。
• 关注浏览器是否出现主页、搜索引擎、代理设置或扩展策略被异常锁定的情况。
• 对网银、邮箱、云服务等关键账户启用多因素认证，并定期查看登录设备和会话记录。
• 避免从不明链接下载所谓更新、插件、破解工具或办公文档附带程序。
• 在发现异常登录或浏览器行为时，优先在干净设备上修改密码并注销其他会话。

企业与高风险用户应加强浏览器侧防护

由于来源显示该行动面向凭据、会话令牌和敏感数据，企业环境中的浏览器管理也应被纳入安全基线。管理员可通过集中策略限制扩展安装来源、审计已安装扩展、监控异常浏览器策略变更，并对涉及财务、后台管理、客户数据的账号实施更严格的登录保护。

总体来看，这起事件的核心提醒是：攻击者正在把浏览器扩展当作窃密载体，并尝试绕过用户可见的安全检查。对个人用户来说，最现实的防护不是依赖某个单一工具，而是同时做好系统卫生、扩展最小化、账户分层保护和网络加密。一旦浏览器成为攻击入口，凭据和会话数据就会成为首要目标。