BraZetsu vende i PC infetti: AI valuta ERP e SCADA, ingresso da 5,80 dollari

🛡️ Executive Summary

• BraZetsu è un framework Windows in Python attribuito ad Exilware che trasforma gli host compromessi in accessi classificati e commercializzabili.
• Il malware profila ERP, SCADA, EDR, VPN, backup, sistemi finanziari e certificati digitali, utilizzando anche indicatori destinati al triage AI.
• Gli accessi alimentano Infect Marketplace: bastano 30 real brasiliani, circa 5,80 dollari, come deposito minimo per entrare nella piattaforma criminale.

BraZetsu non nasce per limitarsi a rubare password e cookie. Il malware Windows scoperto da Group-IB trasforma la macchina compromessa in una vera scheda commerciale destinata agli Initial Access Broker: identifica software finanziari, ERP, ambienti SCADA, sistemi di backup, VPN, EDR, database e infrastrutture cloud, raccoglie documenti e certificati digitali e assegna tag utili a stabilire quanto possa valere quell’accesso sul mercato criminale. Dietro il framework, attribuito con alta confidenza all’attore brasiliano Exilware, opera Infect Marketplace, piattaforma che permette ad altri criminali di acquistare macchine già compromesse e distribuirvi ulteriori payload. Group-IB ha ricostruito cinque evoluzioni di BraZetsu a partire dal febbraio 2026.

BraZetsu nasce come RAT e diventa una macchina per gli Initial Access Broker

L’analisi tecnica pubblicata da Group-IB ricostruisce un’evoluzione estremamente rapida. BraZetsu v1 era ancora essenzialmente uno strumento di accesso remoto, con configurazione C2, token di autenticazione e persistenza attraverso una chiave Run denominata MonitorSystem. La seconda versione introduce configurazioni offuscate, amplia l’attenzione verso piattaforme come Mercado Libre e Mercado Pago e comincia a cercare file finanziari con estensioni specifiche. Con v3 e v4 il progetto restringe il focus sulle aziende brasiliane e approfondisce la ricognizione di ERP e applicazioni finanziarie come SAP, TOTVS, Sankhya, Senior, Conta Azul, Omie e Bling. BraZetsu v5 completa il passaggio verso un framework costruito per classificare automaticamente il valore dell’endpoint. Non è un’evoluzione isolata: il caso BREEZE COMET ha già mostrato come il cybercrime brasiliano stia passando dalla semplice frode bancaria alla compromissione dell’infrastruttura finanziaria, ma Group-IB non stabilisce alcun collegamento tra i due attori. Nel caso BraZetsu l’obiettivo immediato non è necessariamente eseguire direttamente la frode: è capire chi è stato compromesso e trasformare quell’accesso in un bene vendibile.

Leggi anche: DriveSurge trasforma le infezioni in accessi qualificati da rivendere attraverso un modello Initial Access Broker

Il vettore iniziale resta sconosciuto ma i loader imitano Edge e notifiche giudiziarie

Group-IB non ha determinato con certezza come inizi ogni infezione BraZetsu e questo limite va mantenuto: non esiste al momento un vettore iniziale universale documentato. I ricercatori hanno però individuato il dominio di distribuzione caixaentradas1inboxshop[.]site seguendo file con nomi come msdege[0-9].exe e wifi_driver.exe, elementi che suggeriscono una campagna basata sul social engineering. Diversi file VBS osservati nell’infrastruttura si presentano inoltre come presunte notifiche relative a un “processo de intimação”, sfruttando un’esca coerente con documentazione amministrativa o giudiziaria in lingua portoghese. Lo stesso dominio ha interagito anche con un campione di Ousaban, trojan bancario latinoamericano, ma Group-IB precisa che questo elemento non dimostra che le due famiglie appartengano allo stesso gruppo. La cautela è importante perché infrastrutture di distribuzione, loader e servizi criminali possono essere condivisi tra operatori differenti. L’elemento più solido è il modello: una volta eseguito il payload, BraZetsu non cerca immediatamente di monetizzare la vittima, ma avvia una fase di ricognizione finalizzata a capire quale tipo di accesso abbia appena ottenuto l’operatore.

Ventisette funzioni cercano ERP, SCADA, EDR, backup e certificati digitali

L’ultima versione analizzata contiene 27 funzioni principali, gran parte delle quali dedicate alla raccolta di intelligence. BraZetsu interroga processi, registro, porte aperte, variabili d’ambiente e filesystem e assegna circa 20 categorie di interesse alla macchina compromessa. Cerca amministratori VTEX e Magento, installazioni finanziarie SAP, Warsaw, TOTVS/Protheus, Topaz e Diebold, ambienti industriali con WinCC, RSLogix e FactoryTalk, sistemi di backup Veeam e Veritas, database Oracle, PostgreSQL, SQL Server e MySQL, configurazioni VPN, strumenti DevOps e persino indicatori di CrowdStrike, SentinelOne e Microsoft Defender.

Riconosce inoltre workstation di polizia brasiliana attraverso prefissi degli hostname, sistemi sanitari Tasy e servizi DICOM, applicazioni logistiche e wallet Exodus. Una funzione specifica scandaglia filesystem e OneDrive alla ricerca di certificati PFX e P12, che vengono raccolti insieme al dossier della macchina e inviati al C2. L’approccio ricorda, per profondità della ricognizione, TerminalFix e le campagne che mappano l’ambiente aziendale prima di trasformare il singolo endpoint in un punto di accesso verso la rete interna. BraZetsu aggiunge però una finalità economica esplicita: classificare automaticamente l’host per agevolarne la rivendita.

La cronologia del browser serve a capire il valore della vittima non a rubarne subito la sessione

BraZetsu analizza Chrome, Edge, Brave, Vivaldi e Opera, ma non segue il comportamento classico dell’infostealer che estrae immediatamente cookie e password. Il framework copia e interroga la cronologia del browser e confronta URL, titoli e numero di visite con una lista di quasi 230 domini e percorsi appartenenti a settori differenti. In questo modo può capire se l’utente utilizza piattaforme bancarie, amministrative, e-commerce, cloud o gestionali senza dover necessariamente compromettere subito le relative credenziali.

La macchina viene così trasformata in un dossier: non interessa soltanto ciò che contiene, ma quali servizi può raggiungere, quale ruolo svolge l’utente e quali sistemi potrebbero essere accessibili attraverso quell’endpoint. È una logica diversa dall’infostealer tradizionale e avvicina il malware agli strumenti di reconnaissance utilizzati durante una vera intrusione enterprise. Group-IB osserva inoltre ricerche mirate di file CNAB, formato brasiliano utilizzato per lo scambio automatizzato di istruzioni finanziarie tra aziende e banche, oltre alle estensioni .240, .400, .rem e .ret. Il dato collega il framework alla conoscenza operativa dell’ecosistema finanziario locale, senza trasformare però BraZetsu in un malware dedicato esclusivamente alle banche.

L’AI compare nel codice ma Group-IB distingue gli indizi dalle prove

Uno degli elementi più interessanti riguarda l’uso dell’intelligenza artificiale, che deve essere descritto con maggiore precisione rispetto all’etichetta generica di “malware creato con AI”. Group-IB osserva codice con logging estremamente verboso, commenti descrittivi ed emoji, caratteristiche che i ricercatori considerano compatibili con un forte ricorso a LLM durante lo sviluppo, ma che da sole non permettono di identificare quale modello sia stato utilizzato né di dimostrare che ogni parte del framework sia stata generata automaticamente. Esistono però indicatori più concreti sul backend: stringhe interne dichiarano che determinati metadati hardware vengono raccolti “per l’AI del server” e che alcuni file vengono classificati per stabilire se siano obiettivi prioritari per l’AI. In questo caso il modello sembrerebbe quindi contribuire al triage della grande quantità di informazioni sottratte e alla prioritizzazione commerciale delle vittime. Una tendenza analoga, pur con architettura e attori completamente differenti, è già emersa con RedC2, dove un LLM traduce obiettivi espressi in linguaggio naturale in sequenze operative di ricognizione, furto e pivoting. BraZetsu mostra il passaggio successivo: l’AI non deve necessariamente inventare nuovi attacchi, può essere più utile nel decidere rapidamente quale macchina compromessa meriti maggiore attenzione.

Infect Marketplace trasforma ogni host in inventario e chiede soltanto 30 real di deposito

Il risultato della ricognizione confluisce nell’ecosistema commerciale di Exilware. Group-IB attribuisce con alta confidenza a questo attore brasiliano la gestione dell’Infect Marketplace, inizialmente disponibile sul dominio infect[.]online, dove gli endpoint compromessi vengono pubblicati come risorse acquistabili da altri criminali. È importante distinguere prezzo dell’accesso e costo di ingresso: i 30 real brasiliani, circa 5,80 dollari, rappresentano il deposito minimo richiesto per accedere al marketplace attraverso criptovaluta e NowPayments, non necessariamente il prezzo di una singola macchina. I clienti acquistano quindi host già compromessi e possono utilizzarli per distribuire payload secondari, lasciando agli operatori downstream la scelta tra furto dati, frode, movimento laterale o ulteriori campagne. Exilware avrebbe progressivamente ristretto l’accesso alla piattaforma imponendo inoltre che i fondi vengano utilizzati entro 24 ore nei giorni con molte nuove infezioni o 49 ore nelle giornate normali, una regola probabilmente pensata per ridurre esposizione investigativa e mantenere una clientela più controllata. Nel marketplace compaiono almeno due vendor, infect.online e SpamPower, mentre Group-IB ha individuato nell’aprile 2026 anche due host statunitensi in vendita. Il modello ricorda Tsundere Bot e il mercato interno di bot destinato alla vendita dell’accesso iniziale, ma BraZetsu appare progettato in modo ancora più esplicito per produrre continuamente nuovo inventario qualificato.

Python, Nuitka, Pastebin e WebSocket tengono insieme il framework

Sul piano tecnico BraZetsu utilizza Python 3, compilato attraverso Nuitka in eseguibili PE nativi per complicare l’analisi e ridurre l’efficacia delle firme più semplici. La configurazione del comando e controllo viene recuperata da Pastebin, dove dominio C2, porta e token vengono conservati in forma Base64 e ulteriormente offuscati tramite XOR. Una volta risolta l’infrastruttura, il malware mantiene una connessione WebSocket persistente, può eseguire comandi attraverso cmd.exe, catturare screenshot in qualità SD o HD e avviare worker aggiuntivi. L’analisi infrastrutturale ha inoltre permesso a Group-IB di collegare BraZetsu ad AgenteV2: le due denominazioni condividono loader come wifi_driver.exe e msedge04.exe, runtime Python 3.13, librerie OpenSSL, metodologia di build, server ospitato sullo stesso indirizzo Contabo e WebSocket TLS sulla porta 8443. Per Group-IB si tratta con alta confidenza dello stesso framework di accesso iniziale. Anche il ricorso a servizi pubblici come dead-drop resolver non è nuovo: FAMOUS CHOLLIMA ha già utilizzato Pastebin per nascondere e ruotare l’infrastruttura C2 all’interno di campagne npm, mostrando perché il traffico verso servizi legittimi debba essere valutato nel contesto del processo che lo genera.

Continua con:

• Node.js diventa un runtime fidato per backdoor, ClickFix ed EtherHiding nelle intrusioni enterprise
• SynkLoader profila le reti aziendali e prepara l’accesso per ransomware o broker criminali

La difesa deve riconoscere il profiling prima che la macchina venga venduta

La principale indicazione difensiva è intercettare BraZetsu prima che il primo accesso diventi un prodotto disponibile per altri criminali. Group-IB raccomanda di cercare eseguibili e pattern come msedge[0-9].exe, wifi_driver.exe e temp_agente.dll, monitorare enumerazioni anomale del registro e dei processi, ricerche ricorsive di file .cnab, .240, .400, .pfx e .p12 e connessioni WebSocket non abituali verso infrastrutture esterne. Anche l’accesso a Pastebin da processi che non ne hanno una ragione operativa può diventare un segnale utile, soprattutto quando precede traffico verso C2 sconosciuti. La segmentazione tra workstation, ERP, database, backup e sistemi industriali riduce inoltre il valore di un singolo endpoint compromesso, perché limita ciò che BraZetsu può scoprire e ciò che un successivo acquirente può raggiungere. Il rischio strategico è proprio questo: Exilware separa chi ottiene l’accesso da chi conduce l’attacco finale. Un’organizzazione può quindi essere compromessa da BraZetsu e subire giorni dopo ransomware, frode o esfiltrazione da un soggetto differente. Il malware non è soltanto un payload: è la catena logistica che trasforma un computer infetto in merce per il cybercrime.