据慢雾监测，一个自 2025 年 5 月起活跃的巴西银行恶意软件行动 REF9334 近日被披露。其 KREMLIN 恶意软件生态通过多阶段加载器和恶意浏览器扩展窃取凭证、会话令牌及敏感数据，并可绕过 Chromium 完整性机制，在未经用户批准的情况下安装至 Chrome 和 Edge 浏览器。该行动还将以太坊智能合约用作“死信解析器”，动态更新 C2 端点和载荷托管位置。分析人员注册 Canary 域名后，观察到 1515 台受感染主机签到，其中 98.75%位于巴西。