Elastic 追蹤到 KREMLIN 在七次活動中主要針對巴西銀行用戶，利用惡意瀏覽器擴充功能進行攻擊。Ethereum 智能合約讓 KREMLIN 操作者能在不變更惡意軟體的情況下更新命令伺服器與載荷位置。Elastic 觀察到 1,515 台受感染系統連線至其註冊的誘餌網域，其中 98.75% 位於巴西。KREMLIN 透過操縱 Chromium 的 Secure Preferences，在未經使用者批准的情況下安裝惡意的 Chrome 與 Edge 擴充功能。研究人員透過用於部署與更新惡意合約的錢包，追蹤到 82 筆 USDT 轉帳。