BraZetsu verwandelt infizierte PCs in Zugänge, die an Kriminelle verkauft werden

Ein Markt, auf dem Opfer zum Inventar werden

Am 3. September 2026 wurde eine neue Analyse zu BraZetsu veröffentlicht, einem modularen Malware-Framework für Windows, das mit hoher Wahrscheinlichkeit Exilware zugeschrieben wird. Dabei handelt es sich nicht um einen gewöhnlichen Infostealer: BraZetsu katalogisiert kompromittierte Systeme, schätzt ihren wirtschaftlichen Wert und stellt sie kriminellen Kunden zur Verfügung.

BraZetsu speist den Infected Marketplace, der auch „Banco de Infects“ genannt wird und mit der Domain infect[.]online verbunden ist. Die Plattform folgt dem Modell Access-as-a-Service: Exilware verschafft und erhält den Erstzugang, während andere Akteure dafür bezahlen, die bereits infizierten Rechner zu nutzen.

Die anfängliche Gebühr für den Zugang zum Dienst beträgt etwa 5,80 US-Dollar. Nach dem Kauf eines Hosts kann der Kunde eigene Malware ausführen, zusätzliche Tools verteilen oder manuell aus der Ferne Aktivitäten durchführen. Eindringen und Monetarisierung werden dadurch zwischen verschiedenen Akteuren aufgeteilt.

Dieser Mechanismus verstärkt die Folgen einer einzelnen Infektion. Derselbe Computer kann zum Ausgangspunkt für Datendiebstahl, Finanzbetrug, die Kompromittierung des Unternehmensnetzwerks oder die Installation weiterer Payloads werden.

Einige der analysierten Samples wurden von VirusTotal nicht erkannt. Das bedeutet nicht, dass BraZetsu grundsätzlich unsichtbar ist. Es zeigt jedoch, dass zumindest einige Varianten die auf der Plattform verfügbaren Engines zum Zeitpunkt der Prüfung umgehen konnten.

Fünf Generationen in wenigen Monaten entwickelt

Exilware wurde erstmals am 2. Februar 2026 entdeckt. Die erste bekannte Version von BraZetsu stammt vom 9. Februar 2026, während das modulare Python-Framework Anfang Mai 2026 beobachtet wurde.

Insgesamt wurden fünf eigenständige Versionen identifiziert. Die Entwicklung soll aus einem vergleichsweise einfachen Remote-Access-Trojaner eine strukturierte Plattform für die Erfassung, Bewertung und den Verkauf von Zugängen gemacht haben.

Die dritte Generation richtete ihre Aktivitäten stärker auf brasilianische Unternehmen aus. Exilware bewarb jedoch auch zwei kompromittierte Hosts in den Vereinigten Staaten, was gegen eine ausschließlich nationale Reichweite spricht.

Die Hauptziele liegen auf der Iberischen Halbinsel und in Lateinamerika. Zu den betroffenen Branchen zählen E-Commerce, Finanzinstitute, Industrieunternehmen, Strafverfolgungsbehörden sowie Organisationen mit wirtschaftlich relevanter Infrastruktur oder entsprechenden Daten.

Bei den Betreibern soll es sich um portugiesische Muttersprachler handeln. Die jüngsten Versionen zeigen ein besonderes Interesse an Brasilien, verfügen jedoch weiterhin über mehrsprachige Fähigkeiten, die eine Ausweitung der Kampagnen in der Region ermöglichen könnten.

Wie BraZetsu ein kompromittiertes System bewertet

Nach der Ausführung sammelt BraZetsu Informationen über die Hardware, die installierte Software und die Netzwerkkonfiguration. Das Framework listet Prozesse, Umgebungsvariablen, Ports, zuletzt geöffnete Dateien und Verzeichnisse auf, die auf ERP-Installationen hindeuten.

Darüber hinaus kann das Framework Bildschirmaufnahmen erstellen, das aktive Anwendungsfenster überwachen, digitale Zertifikate abrufen und Befehle über eine Remote-Shell ausführen. Der Betreiber kann zusätzliche Module hochladen und manuell auf dem Gerät agieren.

Der Browserverlauf von Google Chrome, Microsoft Edge, Brave, Vivaldi und Opera wird erfasst. Auch die Fenstertitel werden auf Schlüsselwörter im Zusammenhang mit Bankaktivitäten geprüft – ein mögliches Indiz für die wirtschaftliche Attraktivität des Opfers.

Um einen dauerhaften Kanal zum Infected Marketplace aufrechtzuerhalten, verwendet BraZetsu WebSocket-Verbindungen. Die für die Verbindung zum Command-and-Control-Server erforderlichen Informationen werden über eine Pastebin-URL abgerufen. Dadurch können die Betreiber die Infrastruktur aktualisieren, ohne sie fest in die Malware integrieren zu müssen.

Die als auf künstlicher Intelligenz basierend bezeichnete Komponente kombiniert die gesammelten Daten, um das kommerzielle Potenzial des Hosts zu schätzen. Das System hilft Exilware dabei, einen wenig interessanten Arbeitsplatz von einem Computer mit Zugriff auf Zahlungssysteme, Unternehmensnetzwerke, Zertifikate oder Geschäftsanwendungen zu unterscheiden.

Das Ergebnis ist eine Art angereicherter krimineller Katalog. Die Zugänge werden nicht als austauschbare Einträge angeboten, sondern nach ihrem Potenzial für Betrug oder die Ausbreitung im Netzwerk klassifiziert.

CNAB-Dateien, Zahlungsprozesse und Verbindungen zu anderer Malware

BraZetsu sucht gezielt nach CNAB-Dateien, einem textbasierten Standard mit fester Feldbreite, der in Brasilien zum Austausch von Finanzinformationen zwischen Unternehmen und Banken verwendet wird. Ihr Vorhandensein kann darauf hindeuten, dass das System an der Abwicklung von Zahlungen oder Überweisungen beteiligt ist.

Diese Funktion weist Überschneidungen mit CNABHunter auf, einem Python-Tool zum Auffinden und Interpretieren solcher Dokumente. CNABHunter kann Transaktionsmetadaten an einen entfernten Server senden und die Originaldateien verändern, indem legitime Daten durch von den Angreifern kontrollierte Bankverbindungen, PIX-Schlüssel oder Barcodes ersetzt werden.

Die beiden Tools haben jedoch unterschiedliche Aufgaben. CNABHunter ist auf die Manipulation von Zahlungen spezialisiert. BraZetsu führt eine umfassendere Aufklärung durch, erhält die Fernsteuerung aufrecht und bereitet den Host für den anschließenden Verkauf vor.

Die bedeutendste Überschneidung betrifft die Liste der Verzeichnisse, die nach CNAB-Dateien durchsucht werden. Es gilt als wahrscheinlich, dass die Entwickler von BraZetsu diese Logik wiederverwendet haben, nachdem sie ihren Wert erkannt hatten. Das Framework wurde einen Tag nach der öffentlichen Veröffentlichung von CNABHunter durch den Forscher @johnk3r auf X erstmals in einer realen Umgebung entdeckt.

Eine weitere Verbindung besteht zu AgenteV2, einer Python-Backdoor, die über gefälschte gerichtliche Vorladungen gegen brasilianische Nutzer verbreitet wurde. Die Malware kann den Bildschirm des Opfers in Echtzeit übertragen und den Betreibern so ermöglichen, einzugreifen, sobald ein Bankportal geöffnet wird.

Die Adresse 38.242.246[.]176, die bei der Analyse der mit Exilware verbundenen Namensgebung ermittelt wurde, war bereits mit AgenteV2 in Verbindung gebracht worden. Gemeinsamer Code, Infrastruktur, Vorgehensweisen und operative Fähigkeiten stützen mit hoher Wahrscheinlichkeit die Annahme, dass AgenteV2 und BraZetsu Ausprägungen desselben Frameworks sind.

Der Loader tarnt sich als Microsoft Edge

Der ursprüngliche Infektionsvektor konnte nicht ermittelt werden. Als wichtigste Hypothese gilt weiterhin Social Engineering. Eine vollständige und verifizierte Angriffskette für alle BraZetsu-Infektionen ist jedoch nicht bekannt.

Der beobachtete Ausgangspunkt ist ein als Microsoft Edge präsentierter Loader, der von der Domain caixaentradas1inboxshop[.]site heruntergeladen wird. Die zugehörigen Dateien enthalten VBS-Skripte, die für den Abruf der nächsten Stufe zuständig sind.

Dieselbe Domain wurde zur Verbreitung von Ousaban verwendet, einem Banktrojaner, der im Mai 2026 bei einer Phishing-Kampagne gegen Nutzer auf der Iberischen Halbinsel beobachtet wurde. In diesem Fall leitete ein PDF-Köderdokument das Opfer auf eine schädliche Seite weiter, die die Umgebung überprüfte und Nutzern in Spanien oder Portugal ein VBS-Skript auslieferte.

Die Angriffskette wurde mit einer ausführbaren Datei, einem als Dokument getarnten steganografischen PNG-Bild, einem eingebetteten ZIP-Archiv und einer Ousaban-DLL fortgesetzt. Die abschließende Ausführung erfolgte über DLL-Sideloading oder Process Injection. Die Kampagne wurde in einem im Juli veröffentlichten Bericht beschrieben.

Die gemeinsame Nutzung der Domain und der Einsatz von VBS belegen nicht, dass Ousaban und BraZetsu von derselben Gruppe kontrolliert werden. Sie könnten stattdessen auf eine gemeinsame Infrastruktur oder einen gemeinsam genutzten Verbreitungsdienst hindeuten.

Indikatoren und Prioritäten für die Abwehr

Es gibt keinen spezifischen Patch: BraZetsu ist Malware und keine Schwachstelle in einem Produkt. Organisationen sollten zumindest die folgenden Indikatoren blockieren oder überwachen:

• caixaentradas1inboxshop[.]site
• infect[.]online
• 38.242.246[.]176
• Pastebin-URLs, über die C2-Konfigurationen abgerufen werden
• WebSocket-Verbindungen zu nicht autorisierten Infrastrukturen

Die Ausführung von aus dem Internet heruntergeladenen VBS-Dateien sollte verhindert oder streng kontrolliert werden. Aufmerksamkeit verdienen auch Prozesse, die sich als Edge ausgeben, aber Skripte oder Binärdateien aus temporären Verzeichnissen und Pfaden außerhalb der legitimen Installation starten.

EDR- und Netzwerksysteme sollten nach DLL-Sideloading, Process Injection, Remote-Shells, wiederholten Bildschirmaufnahmen und ungewöhnlichen Zugriffen auf Browserverläufe suchen. Weitere Anzeichen sind die Auflistung von ERP-Verzeichnissen, digitalen Zertifikaten, zuletzt verwendeten Dateien und CNAB-Dokumenten.

Arbeitsplätze, die für Zahlungen verwendet werden, erfordern eine Segmentierung und strengere Kontrollen. Jede Änderung von Bankverbindungen, PIX-Schlüsseln und Barcodes sollte vor der Verarbeitung der Überweisung über einen unabhängigen Kanal überprüft werden.

Abschließend sollten Windows-Systeme erneut auf die fünf bekannten Generationen von BraZetsu sowie auf Artefakte von AgenteV2 untersucht werden. Die anfängliche Kompromittierung ist nur der erste Schritt: Das eigentliche Ziel besteht darin, diesen Zugang für andere Kriminelle verkäuflich und wiederverwendbar zu machen.