SlowMistは、少なくとも2025年5月から活動しているブラジルのバンキングマルウェア・キャンペーン「REF9334」が、KREMLINマルウェア・エコシステムを利用し、多段階ローダーや悪意のあるブラウザー拡張機能を通じて認証情報、セッショントークン、機密データを窃取していると報告しました。 この拡張機能は、Secure Preferences、HMAC、App-Bound暗号化ハッシュなど、Chromiumの整合性メカニズムを回避し、ユーザーの承認なしにChromeやEdgeへ自身をインストールできます。このキャンペーンではさらに、Ethereumのスマートコントラクトを「デッドドロップ・リゾルバー」として利用し、C2エンドポイントやペイロードのホスティング場所を動的に更新しています。 アナリストは、ネットワークのCanaryドメインを登録した後にチェックインした感染ホストを1,515台確認しており、その98.75％がブラジルに所在していました。SlowMistはセキュリティチームに対し、関連するマルウェア、ブラウザー拡張機能の活動、および関連インフラを監視するよう助言しました。