Elastic追踪的巴西银行恶意软件行动REF9334已感染至少1,515个系统，其中98.75%位于巴西。KREMLIN生态系统至少自2025年5月起持续活跃，已出现在7次行动中，利用JavaScript诱饵、多阶段加载器以及恶意Chrome和Edge扩展程序，收集凭据、Cookie、会话令牌及其他浏览器数据。以太坊智能合约充当死信解析器，存储配置值，将受感染设备导向不断变化的命令与控制基础设施及载荷位置，而无需修改恶意软件本身。Elastic识别出3个相关合约，以及涉及用于部署和更新这些合约的钱包的82笔USDT转账。研究人员临时注册了KREMLIN用于反分析检查的一个域名，导致受感染系统停止继续运行，同时确认了该行动的影响范围。Elastic表示，没有发现证据表明该行动与俄罗斯有关，尽管其名称如此。