بروتوكول اتصال استخدمته الإضافات لإنشاء قناة مشفرة مع خوادم التحكم والسيطرة وتنزيل وحدات JavaScript.
تستخدم عملية مصرفية نشطة منذ منتصف 2025 أداة KREMLIN لتثبيت إضافات خبيثة على Chrome وEdge من دون موافقة المستخدم، بهدف سرقة كلمات المرور والرموز والجلسات والبيانات الحساسة. رصدت Elastic Security Labs نحو 1,515 نظاماً مصاباً، معظمها في البرازيل، وتمكنت من تعطيل الحملة الحالية عبر استغلال آلية فحص مضادة للتحليل.
كشفت Socket عن حملة استخدمت 19 إضافة لمتصفحي Google Chrome وMicrosoft Edge لتوزيع إطار برمجي خبيث قادر على سرقة العملات المشفرة وبيانات الحسابات وسجل التصفح، مع حقن صفحات احتيالية من نوع ClickFix. وتشير نتائج التحقيق إلى أن النشاط قد يكون بدأ منذ مطلع 2024، وأن بعض الإضافات تحولت إلى أدوات خبيثة بعد استحواذ المهاجمين عليها وتحديثها تلقائياً.