BraZetsu trasforma i PC infetti in accessi da vendere ai criminali

Un mercato in cui le vittime diventano un inventario

Il 3 settembre 2026 è emersa una nuova analisi su BraZetsu, framework malware modulare per Windows attribuito con elevata confidenza a Exilware. Non è un semplice infostealer: cataloga i sistemi compromessi, ne stima il valore economico e li rende disponibili a clienti criminali.

BraZetsu alimenta l’Infected Marketplace, chiamato anche “Banco de Infects” e associato al dominio infect[.]online. La piattaforma segue il modello access-as-a-service: Exilware ottiene e mantiene l’accesso iniziale, mentre altri operatori pagano per utilizzare le macchine già infette.

Il deposito iniziale indicato per accedere al servizio è di circa 5,80 dollari. Dopo l’acquisto di un host, il cliente può eseguire propri malware, distribuire strumenti aggiuntivi o condurre attività manuali da remoto. Intrusione e monetizzazione vengono così separate tra soggetti diversi.

Questo meccanismo amplia le conseguenze di una singola infezione. Lo stesso computer può diventare il punto di partenza per furti di dati, frodi finanziarie, compromissioni della rete aziendale o installazione di ulteriori payload.

Alcuni campioni analizzati non risultavano rilevati da VirusTotal. Il dato non implica che BraZetsu sia sempre invisibile, ma mostra che almeno alcune varianti potevano eludere i motori presenti sulla piattaforma al momento del controllo.

Cinque generazioni sviluppate in pochi mesi

Exilware è stato individuato per la prima volta il 2 febbraio 2026. La prima iterazione conosciuta di BraZetsu risale al 9 febbraio 2026, mentre il framework Python modulare è stato osservato all’inizio di maggio 2026.

Sono state identificate complessivamente cinque versioni distinte. L’evoluzione avrebbe trasformato un trojan di accesso remoto relativamente semplice in una piattaforma strutturata per la raccolta, la valutazione e la vendita degli accessi.

La terza generazione ha concentrato maggiormente le operazioni sulle aziende brasiliane. Exilware ha però pubblicizzato anche due host compromessi negli Stati Uniti, elemento che esclude una portata esclusivamente nazionale.

Gli obiettivi principali si trovano nell’area iberica e latinoamericana. Tra i settori esposti figurano e-commerce, istituzioni finanziarie, imprese industriali, forze dell’ordine e organizzazioni dotate di infrastrutture o dati economicamente rilevanti.

Gli operatori sarebbero madrelingua portoghesi. Le versioni più recenti mostrano una particolare attenzione per il Brasile, pur mantenendo capacità multilingue potenzialmente utili a estendere le campagne nella regione.

Come BraZetsu valuta un sistema compromesso

Una volta eseguito, BraZetsu raccoglie informazioni sull’hardware, sul software installato e sulla configurazione della rete. Enumera processi, variabili d’ambiente, porte, file aperti di recente e directory riconducibili a installazioni ERP.

Il framework può inoltre acquisire schermate, monitorare la finestra applicativa attiva, recuperare certificati digitali ed eseguire comandi tramite una shell remota. L’operatore può caricare moduli aggiuntivi e intervenire manualmente sul dispositivo.

La raccolta della cronologia interessa Google Chrome, Microsoft Edge, Brave, Vivaldi e Opera. I titoli delle finestre vengono controllati anche per individuare parole chiave collegate ad attività bancarie, un possibile segnale della redditività della vittima.

Per mantenere un canale persistente con l’Infected Marketplace, BraZetsu usa connessioni WebSocket. Le informazioni necessarie a raggiungere il server di comando e controllo vengono recuperate attraverso un URL di Pastebin, soluzione che permette agli operatori di aggiornare l’infrastruttura senza incorporarla rigidamente nel malware.

La componente definita come basata sull’intelligenza artificiale combina i dati raccolti per stimare il potenziale commerciale dell’host. Il sistema aiuta Exilware a distinguere una postazione poco interessante da un computer con accesso a pagamenti, reti aziendali, certificati o applicazioni gestionali.

Il risultato è una sorta di catalogo criminale arricchito. Gli accessi non vengono offerti come elementi indistinti, ma classificati in base alle opportunità di frode o di espansione nella rete.

File CNAB, processi di pagamento e legami con altri malware

BraZetsu cerca specificamente i file CNAB, uno standard testuale a larghezza fissa utilizzato in Brasile per lo scambio di informazioni finanziarie tra aziende e banche. La loro presenza può indicare che il sistema partecipa alla gestione di pagamenti o rimesse.

Questa funzione presenta sovrapposizioni con CNABHunter, strumento Python progettato per trovare e interpretare tali documenti. CNABHunter può inviare a un server remoto metadati sulle transazioni e modificare i file originali, sostituendo i dati legittimi con coordinate bancarie, chiavi PIX o codici a barre controllati dagli attaccanti.

I due strumenti hanno però ruoli differenti. CNABHunter è specializzato nella manipolazione dei pagamenti; BraZetsu svolge una ricognizione più ampia, mantiene il controllo remoto e prepara l’host per la successiva vendita.

La sovrapposizione più significativa riguarda l’elenco delle directory esaminate per trovare i file CNAB. È ritenuto probabile che gli sviluppatori di BraZetsu abbiano riutilizzato questa logica dopo averne riconosciuto il valore. Il framework è stato individuato in un ambiente reale il giorno successivo alla divulgazione pubblica di CNABHunter da parte del ricercatore @johnk3r su X.

Un altro collegamento riguarda AgenteV2, backdoor Python distribuita contro utenti brasiliani mediante false convocazioni giudiziarie. Il malware può trasmettere in tempo reale lo schermo della vittima, consentendo agli operatori di intervenire quando viene aperto un portale bancario.

L’indirizzo 38.242.246[.]176, individuato analizzando la nomenclatura associata a Exilware, era già stato collegato ad AgenteV2. Codice condiviso, infrastruttura, procedure e capacità operative sostengono con alta confidenza l’ipotesi che AgenteV2 e BraZetsu siano manifestazioni dello stesso framework.

Il loader si maschera da Microsoft Edge

Il vettore iniziale di compromissione non è stato determinato. L’ipotesi principale resta l’ingegneria sociale, ma non è nota una catena completa e verificata per tutte le infezioni di BraZetsu.

Il punto di partenza osservato è un loader presentato come Microsoft Edge, scaricato dal dominio caixaentradas1inboxshop[.]site. I file associati contengono script VBS incaricati di recuperare lo stadio successivo.

Lo stesso dominio è stato utilizzato per distribuire Ousaban, trojan bancario osservato in una campagna di phishing contro utenti della penisola iberica in maggio 2026. In quel caso, un PDF-esca indirizzava la vittima verso una pagina malevola che controllava l’ambiente e serviva un VBS agli utenti in Spagna o Portogallo.

La catena proseguiva con un eseguibile, un’immagine PNG steganografica camuffata da documento, uno ZIP incorporato e una DLL di Ousaban. L’esecuzione finale avveniva tramite DLL sideloading o process injection. La campagna è stata descritta in un rapporto pubblicato a luglio.

La condivisione del dominio e l’impiego di VBS non provano che Ousaban e BraZetsu siano controllati dallo stesso gruppo. Potrebbero indicare, invece, l’uso di un’infrastruttura comune o di un servizio di distribuzione condiviso.

Indicatori e priorità per la difesa

Non esiste una patch specifica: BraZetsu è un malware, non una vulnerabilità di un prodotto. Le organizzazioni dovrebbero bloccare o monitorare almeno questi indicatori:

• caixaentradas1inboxshop[.]site
• infect[.]online
• 38.242.246[.]176
• URL Pastebin usati per ottenere configurazioni C2
• connessioni WebSocket verso infrastrutture non autorizzate

L’esecuzione di file VBS scaricati da Internet dovrebbe essere impedita o sottoposta a controlli rafforzati. Meritano attenzione anche i processi che si presentano come Edge ma avviano script o binari da directory temporanee e percorsi estranei all’installazione legittima.

EDR e sistemi di rete dovrebbero cercare DLL sideloading, process injection, shell remote, catture ripetute dello schermo e accessi anomali alle cronologie dei browser. Altri segnali comprendono l’enumerazione di directory ERP, certificati digitali, file recenti e documenti CNAB.

Le postazioni dedicate ai pagamenti richiedono segmentazione e controlli più severi. Ogni modifica a coordinate bancarie, chiavi PIX e codici a barre dovrebbe essere verificata attraverso un canale indipendente prima dell’elaborazione della rimessa.

Infine, occorre riesaminare i sistemi Windows alla ricerca delle cinque generazioni conosciute di BraZetsu e degli artefatti di AgenteV2. La compromissione iniziale è soltanto il primo passaggio: il vero obiettivo è rendere quell’accesso vendibile e riutilizzabile da altri criminali.