ElasticがREF9334として追跡するブラジルの銀行マルウェア作戦で、少なくとも1515システムが感染した。感染システムの98.75％はブラジルにある。2025年5月以前から活動しているKREMLINエコシステムは、JavaScriptの誘導や多段階ローダー、悪意あるChrome・Edge拡張機能を使う7つのキャンペーンに登場し、認証情報、Cookie、セッショントークンなどのブラウザデータを収集してきた。イーサリアムのスマートコントラクトはデッドドロップ・リゾルバーとして機能し、感染端末を変更後のコマンド＆コントロール・インフラやペイロードの場所へ誘導する設定値を保存している。マルウェアを変更する必要はない。Elasticは、関連する3つのコントラクトと、それらの展開・更新に使われたウォレットに関わる82件のUSDT送金を確認した。研究チームは、KREMLINの解析対策チェックに使われていたドメインを一時的に登録した。その結果、感染システムの処理が進まなくなり、作戦の影響範囲を確認できた。Elasticは、名称に反して、この作戦とロシアを結び付ける証拠は見つからなかったと説明した。