Pesquisadores de cibersegurança revelaram detalhes de um sofisticado framework de malware para Windows baseado em Python, chamado BraZetsu, que abastece um mercado clandestino voltado à comercialização de acesso a máquinas comprometidas.
“Diferentemente do modelo padrão de infostealer, o BraZetsu é um kit-mestre abrangente que fortalece Initial Access Brokers (IABs) ao transformar sistemas comprometidos em ativos comerciais de alto valor”, afirmaram os analistas de malware da Group-IB, Julio Guapo Menezes e Miguel Salazar, em um relatório técnico.
“O framework demonstra alto nível de maturidade operacional, com arquitetura modular e técnicas de furtividade que permitiram que algumas amostras permanecessem totalmente indetectáveis no VirusTotal no momento da análise.”
BraZetsu é uma junção de “Brazil” e “Zetsu”, personagem fictício da série japonesa de mangá Naruto, conhecido por agir nas sombras como uma ameaça. O nome faz referência ao fato de que a ferramenta de acesso inicial se infiltra discretamente em redes-alvo para viabilizar ataques posteriores altamente destrutivos. Os threat actors, acompanhados sob o nome Exilware, seriam falantes nativos de português.
A empresa com sede em Cingapura afirmou que o BraZetsu mira principalmente alvos da Península Ibérica e da América Latina, em setores como comércio eletrônico, ambiente corporativo, finanças, indústria, forças de segurança e outros. Os indícios apontam para uso intensivo de inteligência artificial generativa, não apenas no desenvolvimento do malware, mas também na triagem de dados de backend e na priorização de alvos.
O malware tem capacidade para realizar reconhecimento aprofundado e varredura em redes das vítimas. Também busca arquivos de remessa financeira, como os do formato CNAB brasileiro, um padrão de arquivo de texto de largura fixa usado para intercâmbio eletrônico de dados financeiros entre empresas e bancos no Brasil. Além disso, consegue extrair históricos detalhados de navegador para entender o comportamento da vítima.
O BraZetsu serve de base para o Infected Marketplace, também chamado de “Banco de Infects” e “infect[.]online”, uma plataforma na qual o threat actor monetiza o acesso inicial a hosts comprometidos por meio de um depósito inicial de cerca de US$ 5,80. O threat actor foi identificado pela primeira vez em 2 de fevereiro de 2026 e evoluiu rapidamente seu arsenal, saindo de um trojan de acesso remoto básico para o framework atual, com coleta de inteligência aprimorada por IA.
“Ao funcionar como uma plataforma habilitada como serviço, o marketplace permite que clientes criminosos executem remotamente payloads maliciosos secundários no acesso adquirido, criando um efeito persistente de multiplicação da ameaça em todo o ecossistema regional”, disseram os pesquisadores.
“O marketplace opera como uma estrutura de access-as-a-service, na qual outros criminosos podem comprar pontos de entrada nos sistemas das vítimas. Depois que um criminoso adquire o acesso por meio da plataforma, ele pode implantar payloads maliciosos usando um recurso especializado. Isso permite que os compradores executem remotamente seu próprio malware ou ferramentas nos sistemas comprometidos sem precisar estabelecer, por conta própria, a posição inicial dentro da rede.”
Segundo a Group-IB, o framework modular em Python foi visto pela primeira vez no início de maio de 2026 e oferece aos operadores um modo de catalogar sistemas comprometidos como “ativos negociáveis” para threat actors secundários no marketplace. Ele dá suporte às seguintes funções:
- Varrer hosts infectados e usar IA generativa para triagem de dados e priorização de alvos de alto valor para IABs
- Coletar certificados digitais, históricos de navegação do Google Chrome, Microsoft Edge, Brave, Vivaldi e Opera, além de arquivos financeiros, enquanto monitora o comportamento do usuário por meio de capturas de tela
- Tentar localizar arquivos corporativos de remessa financeira no formato CNAB da Federação Brasileira de Bancos
- Usar o protocolo WebSocket para manter comunicação persistente com o Infected Marketplace
O BraZetsu também compartilha parte de sua base com o CNABHunter, uma ferramenta personalizada em Python que varre sistematicamente diretórios locais e de rede em busca de arquivos CNAB, processa registros de transações financeiras e exfiltra metadados de pagamentos para uma infraestrutura dedicada baseada em HTTP. Além disso, o CNABHunter consulta um servidor remoto em busca de ordens emitidas pelos operadores.
“Quando instruído, ele reescreve automaticamente os arquivos CNAB originais, substituindo as informações legítimas de pagamento por dados bancários controlados pelo atacante, PIX keys ou códigos de barras”, afirmou a Group-IB. “Esse fluxo de trabalho foi projetado especificamente para facilitar fraudes financeiras contra processos de pagamento corporativos.”
Por outro lado, o BraZetsu é mais voltado ao acesso inicial do que à fraude financeira em si. Além de executar reconhecimento amplo de hosts e coletar arquivos relacionados ao CNAB, ele facilita a coleta autônoma de dados, operações interativas com execução remota de comandos em shell e a implantação de módulos adicionais.
O principal elemento que os conecta é a lista de diretórios usada para localizar arquivos relacionados ao CNAB. Suspeita-se que os desenvolvedores ligados ao BraZetsu tenham incorporado a mesma funcionalidade após enxergar uma “oportunidade lucrativa”. Essa avaliação se baseia no fato de que o BraZetsu foi encontrado em atividade um dia após o CNABHunter ter sido divulgado publicamente por um pesquisador identificado como @johnk3r no X.
Ainda não está claro como exatamente esse malware chega às vítimas. No entanto, a engenharia social é a hipótese mais provável. O ponto de partida é um loader que se disfarça de Microsoft Edge e é baixado de um domínio de distribuição chamado “caixaentradas1inboxshop[.]site”.
Uma análise dos arquivos associados ao domínio revelou arquivos de Visual Basic Script (VBS) responsáveis por baixar a próxima etapa do ataque. Curiosamente, o mesmo domínio também foi usado para distribuir o trojan bancário Ousaban. Em maio de 2026, a Fortinet FortiGuard Labs afirmou ter identificado um ataque de phishing por e-mail contra usuários da Península Ibérica com um downloader MSI que instala o Ousaban.
“O PDF de phishing engana as vítimas e as leva a visitar uma página maliciosa que analisa o ambiente do usuário”, disse a Fortinet em um relatório publicado em julho. “Se estiverem na Espanha ou em Portugal, a página baixa um arquivo VBS para iniciar a próxima parte do ataque. O payload final é um arquivo EXE que é colocado no computador da vítima e executado pelo script VBS.”
O arquivo VBS foi criado para recuperar uma imagem PNG com esteganografia que imita um documento PDF, a partir da qual é extraído um arquivo ZIP e, dele, a DLL do Ousaban. O payload final é então executado por meio de DLL sideloading ou injeção de processo.
Assim como no caso do Ousaban, o BraZetsu usa um URL do Pastebin para extrair as informações de C2. Ele também incorpora funções específicas para obter o título da janela da aplicação ativa do usuário e, se houver palavras-chave bancárias comuns; enumerar variáveis de ambiente, portas de rede e processos em execução; executar comandos de shell; capturar telas; buscar arquivos abertos recentemente; e localizar diretórios comuns de instalação de ERP.
Ao todo, foram detectadas cinco versões distintas do malware em atividade até o momento, sendo a primeira delas datada de 9 de fevereiro de 2026. A terceira geração se destaca por restringir seu foco operacional a alvos corporativos no Brasil. Ainda assim, observou-se o threat actor oferecendo acesso a dois hosts comprometidos localizados nos Estados Unidos na mesma época.
“O BraZetsu funciona como o principal framework de malware que sustenta a operação de Initial Access Broker (IAB) da Exilware, estabelecendo pontos iniciais de entrada e reabastecendo continuamente o inventário do Infect Marketplace”, afirmou a Group-IB.
Uma investigação mais profunda em busca de artefatos que seguissem a convenção de nomes usada pela Exilware também identificou um endereço IP, “38.242.246[.]176”, que já havia sido associado ao AgenteV2, um backdoor baseado em Python que mirava usuários brasileiros por meio de iscas de phishing que imitavam intimações judiciais. O malware foi projetado para transmitir a tela da vítima ao atacante em tempo real, facilitando fraudes financeiras assim que um portal bancário é aberto.
Com base em código-fonte compartilhado, táticas operacionais, infraestrutura e capacidades funcionais, a Group-IB avaliou com alta confiança que AgenteV2 e BraZetsu se referem ao mesmo framework de malware para acesso inicial.
“As capacidades de avaliação guiadas por IA do malware analisam automaticamente o potencial comercial das máquinas comprometidas por meio de perfilamento de hardware, análise do ambiente de software e mapeamento da infraestrutura de rede, permitindo que a Exilware categorize e precifique automaticamente o acesso ao marketplace com base no valor da vítima”, disse a empresa.
“Versões recentes mostram foco exclusivo em infraestrutura brasileira, ao mesmo tempo em que mantêm capacidades multilíngues para expansão regional, indicando profundo conhecimento operacional do cenário de ameaças doméstico e posicionamento estratégico para operações mais amplas na América Latina, visando infraestrutura crítica e setores comerciais de alto valor.”
O BraZetsu está longe de ser o único malware a mirar a América Latina. Nas últimas semanas, o Dark Caracal, grupo de ciberespionagem com ligações à Diretoria-Geral de Segurança Geral do Líbano, foi atribuído a uma intrusão direcionada que afetou uma organização de comunicações na Venezuela.
O incidente, ocorrido em junho de 2026, levou à implantação de um framework modular em Go até então não documentado, com o codinome GoCaracal, além de uma versão atualizada do Bandook. O GoCaracal aparece em duas variantes: um implant leve, que estabelece o acesso inicial e solta payloads adicionais, e uma versão ampliada para coleta persistente de inteligência e controle interativo.
“A versão ampliada também oferece suporte a um mecanismo de contingência baseado em smart-contracts da Ethereum, que permite aos operadores recuperar uma infraestrutura de comando e controle (C2) substituta sem precisar redistribuir o malware”, afirmou a ArcticWolf. “Esses achados mostram que o Dark Caracal está modernizando o malware e a infraestrutura por trás de suas operações e táticas já consolidadas.”
O método de entrega é consistente com uma campanha anterior documentada pela Kaspersky, na qual o threat actor usou iscas com tema de faturas, contendo anexos SVG, para distribuir um backdoor chamado AsioGate, sucessor do Poco RAT, por meio de um loader em Delphi, em ataques contra usuários e entidades no Chile e no Brasil.
As descobertas também surgem no momento em que a LevelBlue identificou que um operador ligado ao Blind Eagle teve sua própria máquina comprometida por um infostealer, oferecendo informações importantes sobre a campanha. O Blind Eagle é um grupo de hackers que fala espanhol e está ativo desde, pelo menos, 2018, com foco principal em órgãos governamentais, instituições financeiras e empresas da América Latina, especialmente na Colômbia e no Equador.
“O que encontramos naquela máquina forneceu uma visão muito mais ampla da operação: ferramentas para criação de RAT, modelos de phishing, software de envio em massa de e-mails, registros de infraestrutura e evidências de tentativas repetidas de dificultar a detecção dos arquivos maliciosos pelos softwares de segurança”, disse o pesquisador de segurança Serhii Melnyk.
“A máquina aparentemente foi comprometida por um infostealer comum e não relacionado, o mesmo tipo geral de malware que o Blind Eagle usa para roubar informações das vítimas. Em outras palavras, a investigação começou quando uma estação de trabalho que parecia ser do lado atacante foi exposta pelo malware de outra pessoa.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...