Вредоносная программа BraZetsu превращает скомпрометированные компьютеры Windows в хранилище криминальных товаров.

[admin]

Исследователи в области кибербезопасности раскрыли подробности о сложной вредоносной программе для Windows на основе Python под названием BraZetsu , которая поддерживает подпольный рынок, занимающийся коммерциализацией доступа к скомпрометированным хостам.

«В отличие от стандартной модели программ-похитителей информации, BraZetsu представляет собой комплексный набор инструментов, который расширяет возможности брокеров первоначального доступа (IAB), превращая скомпрометированные системы в высокоценные коммерческие активы», — заявили аналитики вредоносного ПО Group-IB Хулио Гуапо Менезес и Мигель Салазар в техническом отчете.

«Предложенная система демонстрирует высокую операционную зрелость, используя модульную архитектуру и методы скрытого обнаружения, которые позволили некоторым образцам остаться полностью необнаружимыми на VirusTotal на момент анализа».

BraZetsu — это сочетание слов «Бразилия» и «Зетсу», вымышленного персонажа из японской манги «Наруто», известного своей скрытной угрозой. Название обусловлено тем, что инструмент первоначального доступа незаметно проникает в целевые сети для проведения разрушительных последующих атак. Предполагается, что злоумышленники, отслеживаемые как Exilware, являются носителями португальского языка.

Компания со штаб-квартирой в Сингапуре заявила, что BraZetsu в первую очередь нацелена на цели в Иберийском и Латинской Америке в сферах электронной коммерции, корпоративного сектора, финансов, промышленности, правоохранительных органов и других областях. Имеются данные, указывающие на активное использование генеративного искусственного интеллекта (ИИ) не только для разработки вредоносного ПО, но и для анализа данных и определения приоритетов целей.

Вредоносная программа обладает возможностями для проведения глубокой разведки и сканирования сетей жертв. Она способна сканировать файлы финансовых переводов, например, в бразильском формате CNAB — стандарте текстовых файлов фиксированной ширины, используемом для электронного обмена данными (EDI) финансовых транзакций между компаниями и банками в Бразилии. Также она может извлекать подробную историю браузера для анализа активности жертв.

BraZetsu лежит в основе Infected Marketplace (также известного как "Banco de Infects", "infect[.]online"), платформы, где злоумышленник монетизирует первоначальный доступ к скомпрометированным хостам за первоначальный депозит в размере примерно 5,80 долларов США. Злоумышленник был впервые обнаружен 2 февраля 2026 года и быстро развил свой набор инструментов от простого трояна для удаленного доступа до усовершенствованной с помощью ИИ системы сбора разведывательной информации, какой она является сегодня.

«Функционируя как сервисная платформа, этот рынок позволяет клиентам-преступникам удаленно запускать вторичные вредоносные программы, используя приобретенный доступ, создавая устойчивый эффект множителя угроз в региональной экосистеме», — заявили исследователи.

«Торговая площадка функционирует как сервис доступа, в рамках которого другие преступники могут приобретать точки входа в системы жертв. После приобретения доступа через торговую площадку преступник может развертывать вредоносные программы с помощью специализированной функции платформы. Это позволяет покупателям удаленно запускать собственное вредоносное ПО или инструменты на скомпрометированных системах, не имея необходимости самостоятельно создавать первоначальные точки доступа».

Модульная платформа Python, по данным Group-IB, впервые была представлена в начале мая 2026 года и предлагает операторам способ каталогизировать скомпрометированные системы как «торгуемые активы» для вторичных субъектов угроз на рынке. Она поддерживает следующие функции:

Система сканирует зараженных носителей и использует генеративный ИИ для сортировки данных и определения приоритетных целей для IAB (иммуноблокаторов).
Собирает цифровые сертификаты, историю просмотров из Google Chrome, Microsoft Edge, Brave, Vivaldi и Opera, а также финансовые файлы, отслеживая поведение пользователей с помощью снимков экрана.
Попытки найти файлы корпоративных финансовых переводов в формате CNAB Бразильской федерации банков.
Использует протокол WebSocket для поддержания постоянной связи с зараженным рынком.
BraZetsu также частично пересекается с CNABHunter, пользовательским инструментом на Python, который систематически сканирует локальные и сетевые каталоги на наличие файлов CNAB, анализирует записи финансовых транзакций и передает метаданные платежей в выделенную инфраструктуру на основе HTTP. Кроме того, CNABHunter опрашивает удаленный сервер на предмет заказов, выданных оператором.

«По указанию система автоматически перезаписывает исходные файлы CNAB, заменяя легитимную платежную информацию банковскими реквизитами, ключами PIX или штрихкодами, контролируемыми злоумышленниками», — заявила Group-IB. «Этот рабочий процесс специально разработан для содействия финансовому мошенничеству в отношении корпоративных платежных процессов».




С другой стороны, BraZetsu больше ориентирован на первоначальный доступ, чем на использование в финансовых махинациях. Помимо проведения широкой разведки хостов и сбора файлов, связанных с CNAB, он обеспечивает автономный сбор данных, интерактивные операции с удаленным выполнением команд оболочки и развертывание дополнительных рабочих модулей.

Ключевым моментом, объединяющим их, является список каталогов, используемый для поиска файлов, связанных с CNAB. Предполагается, что разработчики BraZetsu внедрили ту же функциональность, увидев «выгодную возможность». Эта оценка основана на том факте, что BraZetsu был обнаружен на следующий день после того, как CNABHunter был публично представлен исследователем @johnk3r на X.

На данном этапе остается неясным, как именно это вредоносное ПО доставляется жертвам. Однако наиболее вероятной причиной является социальная инженерия. Отправной точкой является загрузчик, маскирующийся под Microsoft Edge и загружаемый с домена распространения под названием "caixaentradas1inboxshop[.]site".

Анализ файлов, связанных с этим доменом, выявил файлы Visual Basic Script (VBS), ответственные за загрузку следующего этапа атаки. Интересно, что тот же домен использовался для распространения банковского трояна Ousaban. В мае 2026 года лаборатория Fortinet FortiGuard сообщила об обнаружении фишинговой атаки по электронной почте, направленной на пользователей на Иберийском полуострове, с использованием загрузчика MSI, который развертывает Ousaban.

«Фишинговый PDF-файл обманом заставляет жертв перейти на вредоносную веб-страницу, которая сканирует окружение пользователя», — говорится в отчете Fortinet, опубликованном в июле. «Если они находятся в Испании или Португалии, веб-страница загружает файл VBS, чтобы запустить следующий этап атаки. Финальная полезная нагрузка — это файл EXE, который размещается на компьютере жертвы и запускается скриптом VBS».

Файл VBS предназначен для извлечения стеганографического изображения PNG, имитирующего документ PDF, после чего из изображения извлекается ZIP-файл, из которого затем извлекается DLL-библиотека Ousaban. Затем окончательная полезная нагрузка запускается посредством загрузки DLL-библиотек или внедрения в процесс.

Как и в случае с Ousaban, BraZetsu использует URL-адрес Pastebin для извлечения информации о C2. Он также включает в себя специальные функции для получения заголовка активного окна приложения пользователя и, если он содержит распространенные банковские ключевые слова; перечисления переменных среды, сетевых портов и запущенных процессов; выполнения команд оболочки; создания снимков экрана; получения недавно открытых файлов; и определения распространенных каталогов установки систем планирования ресурсов предприятия (ERP).

В общей сложности на сегодняшний день в сети обнаружено пять различных версий вредоносного ПО, самая ранняя из которых датируется 9 февраля 2026 года. Третье поколение примечательно тем, что сузило свою оперативную направленность до корпоративных целей в Бразилии. При этом было замечено, что примерно в то же время злоумышленник рекламировал доступ к двум скомпрометированным хостам, расположенным в США.

«BraZetsu функционирует как основная вредоносная платформа, поддерживающая работу брокера первоначального доступа (IAB) Exilware, обеспечивая первоначальные точки опоры и постоянно пополняя инвентарь Infect Marketplace», — заявила Group-IB.

Более тщательный поиск артефактов, соответствующих используемой Exilware системе именования, также позволил идентифицировать IP-адрес ("38.242.246[.]176"), который ранее был связан с AgenteV2 , бэкдором на основе Python, нацеленным на бразильских пользователей с помощью фишинговых приманок, имитирующих судебные повестки. Вредоносная программа разработана таким образом, чтобы в режиме реального времени передавать экран жертвы злоумышленнику для осуществления финансовых махинаций сразу после запуска банковского портала.

На основе общего кода, методов работы, инфраструктуры и функциональных возможностей компания Group-IB с высокой степенью уверенности оценила, что AgenteV2 и BraZetsu используют одну и ту же вредоносную структуру для первоначального доступа.

«Возможности вредоносной программы по оценке на основе искусственного интеллекта автоматически определяют коммерческий потенциал скомпрометированных машин посредством профилирования оборудования, анализа программной среды и картирования сетевой инфраструктуры, что позволяет Exilware автоматически классифицировать вредоносный контент и устанавливать цены на доступ к рынку в зависимости от ценности для жертвы», — заявила компания.

«Последние версии демонстрируют исключительную сосредоточенность на бразильской инфраструктуре, сохраняя при этом многоязычные возможности для регионального расширения, что свидетельствует о глубоком оперативном знании угроз внутри страны и стратегическом позиционировании для более широких операций в Латинской Америке, направленных на критически важную инфраструктуру и высокодоходные коммерческие секторы».

BraZetsu — далеко не единственное вредоносное ПО, нацеленное на Латинскую Америку. В последние недели группа кибершпионажа Dark Caracal , связанная с Главным управлением безопасности Ливана, была причастна к целенаправленному вторжению в коммуникационную организацию в Венесуэле.

Инцидент, произошедший в июне 2026 года, привёл к развертыванию ранее не документированной модульной структуры на языке Go под кодовым названием GoCaracal и обновлённой версии Bandook. GoCaracal существует в двух вариантах: облегчённый имплант, обеспечивающий первоначальный доступ и устанавливающий дополнительные полезные нагрузки, и расширенная версия для постоянного сбора разведывательной информации и интерактивного управления.

«Расширенная версия также поддерживает резервный вариант смарт-контрактов Ethereum, который позволяет операторам восстановить заменяющую инфраструктуру управления и контроля (C2) без повторного развертывания вредоносного ПО», — заявили в ArcticWolf. «Эти результаты показывают, что Dark Caracal модернизирует вредоносное ПО и инфраструктуру, лежащие в основе ее отлаженных операций и методов работы».

Способ распространения соответствует предыдущей кампании, задокументированной компанией Kaspersky, в которой злоумышленник использовал приманки в виде счетов-фактур с SVG-вложениями для распространения бэкдора AsioGate, преемника Poco RAT, через загрузчик Delphi в атаках на пользователей и организации в Чили и Бразилии.

Эти данные также появились на фоне обнаружения компанией LevelBlue того, что компьютер оператора, связанного с Blind Eagle, был взломан программой для кражи информации, что дает важную информацию о масштабах этой кампании. Blind Eagle — это испаноязычная хакерская группа, действующая как минимум с 2018 года и нацеленная в основном на государственные учреждения, финансовые институты и корпоративные структуры в Латинской Америке, в частности в Колумбии и Эквадоре.

«Обнаруженные на этом компьютере данные позволили составить гораздо более полную картину операции: инструменты для создания RAT-программ, шаблоны фишинговых атак, программное обеспечение для массовой рассылки электронных писем, записи об инфраструктуре и свидетельства неоднократных попыток затруднить обнаружение вредоносных файлов программами безопасности», — заявил исследователь безопасности Сергей Мельник .

«По всей видимости, компьютер был взломан вредоносной программой, не связанной с данным вредоносным ПО, — тем же самым типом вредоносных программ, которые Blind Eagle использует для кражи информации у жертв. Другими словами, следы начали расти, когда, по всей видимости, рабочая станция злоумышленника сама оказалась заражена вредоносным ПО другого лица».

Источник