Die Infektionskette beginnt mit einer JavaScript-Datei, die sich als Bank-, Rechnungs- oder Firmendokument tarnt und vom Opfer manuell ausgeführt werden muss. Der daraufhin gestartete mehrstufige Loader setzt seine Arbeit nur fort, wenn er nicht in einer Sandbox oder virtuellen Maschine läuft, und lädt anschließend weitere Komponenten nach.
Die zweite Stufe erfüllt vier Aufgaben: Sie verankert sich über eine geplante Aufgabe im System, ruft die Download-Adressen aus einem Ethereum-Smart-Contract ab, lädt von dort die benötigten Binärdateien und startet die dritte Stufe. Der C++-Installer missbraucht dabei eine SentinelOne-Binärdatei, um seine unsignierte Hauptkomponente per Sideloading zu laden — diese gibt sich als “SentinelAgentCore.dll” aus.
Auch die DLL prüft die Umgebung: Sie durchsucht die Liste laufender Prozesse und liest Hardware-Eigenschaften wie Anzahl der CPUs und Arbeitsspeicher aus. Findet sie einen Prozessnamen aus ihrer fest eingebauten Liste oder verfügt das System nicht über zwei CPUs beziehungsweise mehr als 3 GB RAM, bricht die Malware ab.
Über denselben Smart Contract bezieht KREMLIN zwei Domains — volmira[.]site und zaviro[.]online. Von der ersten erfragt die Malware Version (“1.0.0”) und ID (“ndpbidppejfanjbhfgjlohfanbfbklff”) der Erweiterung, die unter dem Namen “AVSync System Inc.” auftritt. “Vor dem Herunterladen des Archivs prüft die Malware, ob die Erweiterung bereits installiert ist, und vergleicht in diesem Fall die installierte Version mit der vom Server gemeldeten”, schreiben die Forscher. Geladen wird nur, wenn keine lokale Installation existiert oder die Versionen abweichen — als ZIP-Archiv.
Zur Installation in Chromium-basierten Browsern nutzt KREMLIN die öffentlich dokumentierten Umgehungstechniken Phantom Extension und GhostChrome-X. Dabei wird die Datei Secure Preferences verändert, der Entwicklermodus von Chrome aktiviert und das JSON-Objekt “protection.macs” mit gefälschten Metadaten überschrieben, um die Erweiterung zu registrieren, ohne den Schutzmechanismus auszulösen. Dieselbe Vorgehensweise wählte auch der mit China verbundene Akteur APT31 in einer Kampagne, die auf das Exploit-Kit BlueMoon mit inzwischen geschlossenen Chrome- und Windows-Zero-Days setzte, um die Zugangsdaten stehlende Erweiterung GemStone zu installieren.
Ist die Erweiterung aktiv, fordert sie weitreichenden Zugriff auf Browser-Tabs, Cookies, Speicher und die webRequest-API an und exfiltriert anschließend Browserdaten jedes Profils an den C2-Server “luizestrelhashapr[.]online:443”. Eine eindeutige Opfer-Kennung wird im Browser-Speicher abgelegt und bei der Kommunikation mitgesendet. Befehle empfängt die Erweiterung über einen WebSocket-Kanal; zusätzlich fragt sie regelmäßig einen “/google_api/"-Endpunkt ab, wobei die Anfragen als Abrufe von CSS-Dateien getarnt sind und jeder Pfad einem bestimmten Befehl entspricht.
Die Gruppe verteilte zuvor auch fertige Trojaner wie Pulsar RAT und Remcos RAT; der Wechsel zu Ethereum-Smart-Contracts erfolgte laut Elastic am 19. Mai 2026. Insgesamt werden dem Akteur seit dem 16. Juni 2025 sieben unterschiedliche Kampagnen zugerechnet.
Zur Sandbox-Erkennung gehört eine Netzwerk-Kanarienprüfung: Die Malware versucht, eine Seite von einer nicht registrierten Domain zu laden. Kommt eine gültige Antwort, deutet das auf eine Umgebung mit simulierter Netzwerkverbindung hin — die Malware stürzt dann absichtlich ab. Elastic registrierte diese Domain und erfasste so 1.515 infizierte Systeme. “Diese Systeme sind zwar weiterhin mit der letzten KREMLIN-Komponente infiziert, doch die Verteidigungsmechanismen der Kampagne wurden dadurch vorübergehend geschwächt und manipuliert, was Verteidigern zusätzliche Zeit verschaffen könnte, betroffene Endpunkte zu identifizieren und zu bereinigen”, so Elastic.