BraZetsu transforme les PC infectés en accès à revendre aux cybercriminels

Un marché où les victimes deviennent un inventaire

Le 3 septembre 2026, une nouvelle analyse de BraZetsu, framework malware modulaire pour Windows attribué avec un haut degré de confiance à Exilware, a été publiée. Il ne s’agit pas d’un simple infostealer : il répertorie les systèmes compromis, en estime la valeur économique et les met à la disposition de clients criminels.

BraZetsu alimente l’Infected Marketplace, également appelé « Banco de Infects » et associé au domaine infect[.]online. La plateforme suit le modèle access-as-a-service : Exilware obtient et conserve l’accès initial, tandis que d’autres opérateurs paient pour utiliser des machines déjà infectées.

Le dépôt initial requis pour accéder au service s’élève à environ 5,80 dollars. Après l’achat d’un hôte, le client peut exécuter ses propres malwares, déployer des outils supplémentaires ou mener des opérations manuelles à distance. L’intrusion et la monétisation sont ainsi séparées entre plusieurs acteurs.

Ce mécanisme amplifie les conséquences d’une infection isolée. Un même ordinateur peut devenir le point de départ de vols de données, de fraudes financières, de compromissions du réseau de l’entreprise ou de l’installation de charges utiles supplémentaires.

Certains échantillons analysés n’étaient pas détectés par VirusTotal. Cela ne signifie pas que BraZetsu est toujours invisible, mais montre qu’au moins certaines variantes pouvaient échapper aux moteurs présents sur la plateforme au moment du contrôle.

Cinq générations développées en quelques mois

Exilware a été identifié pour la première fois le 2 février 2026. La première itération connue de BraZetsu remonte au 9 février 2026, tandis que le framework Python modulaire a été observé au début du mois de mai 2026.

Au total, cinq versions distinctes ont été identifiées. Cette évolution aurait transformé un cheval de Troie d’accès à distance relativement simple en une plateforme structurée pour collecter, évaluer et vendre des accès.

La troisième génération a davantage concentré ses opérations sur les entreprises brésiliennes. Exilware a toutefois également fait la publicité de deux hôtes compromis aux États-Unis, ce qui exclut une portée exclusivement nationale.

Les cibles principales se trouvent dans la péninsule Ibérique et en Amérique latine. Parmi les secteurs exposés figurent le e-commerce, les établissements financiers, les entreprises industrielles, les forces de l’ordre et les organisations disposant d’infrastructures ou de données présentant une valeur économique.

Les opérateurs seraient lusophones. Les versions les plus récentes témoignent d’un intérêt particulier pour le Brésil, tout en conservant des capacités multilingues susceptibles de servir à étendre les campagnes dans la région.

Comment BraZetsu évalue un système compromis

Une fois exécuté, BraZetsu collecte des informations sur le matériel, les logiciels installés et la configuration du réseau. Il énumère les processus, les variables d’environnement, les ports, les fichiers récemment ouverts et les répertoires associés à des installations ERP.

Le framework peut également capturer des écrans, surveiller la fenêtre applicative active, récupérer des certificats numériques et exécuter des commandes via un shell distant. L’opérateur peut charger des modules supplémentaires et intervenir manuellement sur l’appareil.

La collecte de l’historique concerne Google Chrome, Microsoft Edge, Brave, Vivaldi et Opera. Les titres des fenêtres sont également analysés à la recherche de mots-clés liés aux activités bancaires, ce qui peut révéler la rentabilité potentielle de la victime.

Pour maintenir un canal persistant avec l’Infected Marketplace, BraZetsu utilise des connexions WebSocket. Les informations nécessaires pour joindre le serveur de commande et de contrôle sont récupérées via une URL Pastebin, une solution qui permet aux opérateurs de mettre à jour l’infrastructure sans l’intégrer rigidement au malware.

La composante présentée comme fondée sur l’intelligence artificielle combine les données collectées afin d’estimer le potentiel commercial de l’hôte. Le système aide Exilware à distinguer un poste peu intéressant d’un ordinateur donnant accès à des paiements, à des réseaux d’entreprise, à des certificats ou à des applications de gestion.

Le résultat s’apparente à un catalogue criminel enrichi. Les accès ne sont pas proposés comme des éléments indifférenciés, mais classés en fonction des possibilités de fraude ou d’expansion au sein du réseau.

Fichiers CNAB, processus de paiement et liens avec d’autres malwares

BraZetsu recherche spécifiquement les fichiers CNAB, un standard textuel à largeur fixe utilisé au Brésil pour échanger des informations financières entre les entreprises et les banques. Leur présence peut indiquer que le système participe à la gestion de paiements ou de virements.

Cette fonction présente des recoupements avec CNABHunter, un outil Python conçu pour trouver et interpréter ces documents. CNABHunter peut envoyer à un serveur distant des métadonnées sur les transactions et modifier les fichiers originaux en remplaçant les données légitimes par des coordonnées bancaires, des clés PIX ou des codes-barres contrôlés par les attaquants.

Les deux outils jouent toutefois des rôles différents. CNABHunter est spécialisé dans la manipulation des paiements ; BraZetsu effectue une reconnaissance plus large, conserve le contrôle à distance et prépare l’hôte en vue de sa revente.

Le recoupement le plus significatif concerne la liste des répertoires examinés pour trouver les fichiers CNAB. Il est probable que les développeurs de BraZetsu aient réutilisé cette logique après en avoir identifié la valeur. Le framework a été repéré dans un environnement réel le lendemain de la divulgation publique de CNABHunter par le chercheur @johnk3r sur X.

Un autre lien concerne AgenteV2, une backdoor Python distribuée à des utilisateurs brésiliens au moyen de fausses convocations judiciaires. Le malware peut transmettre en temps réel l’écran de la victime, ce qui permet aux opérateurs d’intervenir lorsqu’un portail bancaire est ouvert.

L’adresse 38.242.246[.]176, identifiée lors de l’analyse de la nomenclature associée à Exilware, avait déjà été liée à AgenteV2. Le code partagé, l’infrastructure, les procédures et les capacités opérationnelles étayent fortement l’hypothèse selon laquelle AgenteV2 et BraZetsu seraient des manifestations d’un même framework.

Le loader se fait passer pour Microsoft Edge

Le vecteur initial de compromission n’a pas été déterminé. L’hypothèse principale reste l’ingénierie sociale, mais aucune chaîne complète et vérifiée n’est connue pour l’ensemble des infections par BraZetsu.

Le point de départ observé est un loader présenté comme Microsoft Edge, téléchargé depuis le domaine caixaentradas1inboxshop[.]site. Les fichiers associés contiennent des scripts VBS chargés de récupérer l’étape suivante.

Le même domaine a été utilisé pour distribuer Ousaban, un cheval de Troie bancaire observé lors d’une campagne de phishing visant des utilisateurs de la péninsule Ibérique en mai 2026. Dans ce cas, un PDF leurre redirigeait la victime vers une page malveillante qui contrôlait l’environnement et envoyait un VBS aux utilisateurs situés en Espagne ou au Portugal.

La chaîne se poursuivait avec un exécutable, une image PNG stéganographique déguisée en document, un ZIP intégré et une DLL d’Ousaban. L’exécution finale s’effectuait au moyen d’un DLL sideloading ou d’une process injection. La campagne a été décrite dans un rapport publié en juillet.

Le partage du domaine et l’utilisation de VBS ne prouvent pas qu’Ousaban et BraZetsu sont contrôlés par le même groupe. Ils pourraient plutôt indiquer l’utilisation d’une infrastructure commune ou d’un service de distribution partagé.

Indicateurs et priorités de défense

Il n’existe pas de correctif spécifique : BraZetsu est un malware, et non une vulnérabilité affectant un produit. Les organisations devraient au minimum bloquer ou surveiller les indicateurs suivants :

• caixaentradas1inboxshop[.]site
• infect[.]online
• 38.242.246[.]176
• les URL Pastebin utilisées pour obtenir des configurations C2
• les connexions WebSocket vers des infrastructures non autorisées

L’exécution de fichiers VBS téléchargés depuis Internet devrait être bloquée ou soumise à des contrôles renforcés. Une attention particulière doit également être accordée aux processus qui se présentent comme Edge, mais lancent des scripts ou des binaires depuis des répertoires temporaires et des chemins sans rapport avec l’installation légitime.

Les solutions EDR et les systèmes réseau devraient rechercher les DLL sideloading, les process injection, les shells distants, les captures d’écran répétées et les accès inhabituels à l’historique des navigateurs. Parmi les autres signaux figurent l’énumération de répertoires ERP, de certificats numériques, de fichiers récents et de documents CNAB.

Les postes dédiés aux paiements nécessitent une segmentation et des contrôles plus stricts. Toute modification de coordonnées bancaires, de clés PIX ou de codes-barres devrait être vérifiée via un canal indépendant avant le traitement du virement.

Enfin, les systèmes Windows doivent être réexaminés afin d’y rechercher les cinq générations connues de BraZetsu ainsi que les artefacts d’AgenteV2. La compromission initiale n’est que la première étape : le véritable objectif est de rendre cet accès vendable et réutilisable par d’autres criminels.