BraZetsu 恶意软件将受感染的 Windows 主机变成犯罪市场库存

网络安全研究人员披露了一个名为 BraZetsu 的复杂 Python 型 Windows 恶意软件框架的细节，该框架为一个将受感染主机访问权限商业化的地下市场提供动力。

"与标准的信息窃取器模式不同，BraZetsu 是一个全面的主工具包，通过将受感染系统转化为高价值的商业资产，为初始访问经纪人（IAB）赋能，"Group-IB 恶意软件分析师 Julio Guapo Menezes 和 Miguel Salazar 在一份技术报告中表示。

"该框架表现出高度的运营成熟度，采用模块化架构和隐蔽技术，使得某些样本在分析时在 VirusTotal 上完全无法被检测到。"

BraZetsu 是"Brazil"和"Zetsu"的合成词，Zetsu 是日本漫画系列《火影忍者》中的一个虚构角色，以其在阴影中作为威胁活动而闻名。该命名灵感来源于该初始访问工具隐蔽地渗透目标网络以进行高度破坏性后续攻击的事实。该威胁行为者被追踪为 Exilware，据信其母语为葡萄牙语。

这家总部位于新加坡的公司表示，BraZetsu 主要针对伊比利亚和拉丁美洲的目标，涉及电子商务、企业、金融、工业、执法和其他环境。证据表明，生成式人工智能（AI）不仅被大量用于恶意软件开发，还用于后端数据分类和目标优先级排序。

该恶意软件具备进行深度侦察和扫描受害者网络的能力。对于金融汇款文件，例如巴西 CNAB 格式的文件——这是一种用于巴西公司与银行之间金融交易电子数据交换（EDI）的定宽文本文件标准。它还具备提取详细浏览器历史记录的能力，以了解受害者的活动。

BraZetsu 构成了 Infected Marketplace（又名"Banco de Infects"、"infect[.]online"）的基础，这是一个威胁行为者将受感染主机的初始访问权限货币化的平台，初始押金约为 5.80 美元。该威胁行为者于 2026 年 2 月 2 日首次被发现，其工具集迅速从基本的远程访问木马演变为今天这个 AI 增强的情报收集框架。

"通过作为一个服务化平台运行，该市场允许犯罪客户在购买的访问权限上远程执行次级恶意负载，在整个区域生态系统中产生持续的威胁倍增效应，"研究人员表示。

"该市场作为一个访问即服务（access-as-a-service）运作，其他犯罪分子可以购买进入受害者系统的入口点。一旦犯罪分子通过市场购买了访问权限，他们就可以通过一个专门的平台功能部署恶意负载。这使得买家能够远程在受感染系统上执行自己的恶意软件或工具，而无需自己建立初始立足点。"

据 Group-IB 称，这个模块化 Python 框架于 2026 年 5 月初首次被发现，并为操作者提供了一种将受感染系统编目为"可交易资产"的方式，供市场上的次级威胁行为者使用。它支持以下功能——

扫描受感染主机并使用生成式 AI 对数据进行分类，为 IAB 优先排序高价值目标
从 Google Chrome、Microsoft Edge、Brave、Vivaldi 和 Opera 收集数字证书、浏览器历史记录和金融文件，同时通过屏幕截图跟踪用户行为
尝试定位巴西银行联合会 CNAB 格式的企业金融汇款文件
依赖 WebSocket 协议与 Infected Marketplace 保持持久通信

BraZetsu 还与 CNABHunter 存在一定程度的重叠，CNABHunter 是一个自定义 Python 工具，系统性地扫描本地和网络目录以查找 CNAB 文件，解析金融交易记录，并将支付元数据外泄到专用的基于 HTTP 的基础设施。此外，CNABHunter 轮询远程服务器以获取操作者下达的指令。

"当收到指令时，它会自动重写原始的 CNAB 文件，用攻击者控制的银行详细信息、PIX 密钥或条形码替换合法的支付信息，"Group-IB 表示。"此工作流专门设计用于针对企业支付流程实施金融欺诈。"

另一方面，BraZetsu 更侧重于初始访问，而非实施金融欺诈的工具。除了执行广泛的主机侦察和收集 CNAB 相关文件外，它还促进自主数据收集、通过远程 shell 命令执行的交互式手动操作以及部署额外的工作模块。

将它们联系起来的核心方面是用于定位 CNAB 相关文件的目录列表。据推测，与 BraZetsu 相关的开发者在看到"有利可图的机会"后，纳入了相同的功能。这一评估基于以下事实：BraZetsu 是在一名名为 @johnk3r 的研究人员在 X 上公开披露 CNABHunter 后一天被野外发现的。

这种恶意软件究竟是如何传递给受害者的，目前尚不清楚。然而，社会工程学是最可能的罪魁祸首。起点是一个伪装成 Microsoft Edge 的加载器，从名为"caixaentradas1inboxshop[.]site"的分发域名下载。

对与该域名相关的文件的分析发现了 Visual Basic Script (VBS) 文件，负责下载攻击的下一阶段。有趣的是，同一个域名还被用于传播 Ousaban 银行木马。2026 年 5 月，Fortinet FortiGuard Labs 表示，它识别出一封针对伊比利亚半岛用户的电子邮件钓鱼攻击，该攻击使用 MSI 下载器部署 Ousaban。

"钓鱼 PDF 诱骗受害者访问一个扫描用户环境的恶意网页，"Fortinet 在 7 月发布的一份报告中表示。"如果他们在西班牙或葡萄牙，该网页会下载一个 VBS 文件以启动攻击的下一部分。最终负载是一个 EXE 文件，被释放到受害者计算机上并由 VBS 脚本执行。"

该 VBS 文件旨在检索一个模仿 PDF 文档的隐写 PNG 图像，然后从图像中提取一个 ZIP 文件，并从中提取 Ousaban DLL。最终负载随后通过 DLL 侧加载或进程注入运行。

与 Ousaban 的情况类似，BraZetsu 使用 Pastebin URL 来提取 C2 信息。它还包含专用功能，用于获取用户的活动应用程序窗口标题，如果其中包含常见的银行关键词；枚举环境变量、网络端口和正在运行的进程；运行 shell 命令；捕获屏幕截图；获取最近打开的文件；以及定位常见的企业资源规划（ERP）安装目录。

总体而言，迄今为止已在野外检测到五个不同的恶意软件版本，最早版本可追溯到 2026 年 2 月 9 日。第三代版本值得注意的是，其运营重点缩小到巴西的企业目标。也就是说，大约在同一时间，该威胁行为者被观察到在广告中出售位于美国的两台受感染主机的访问权限。

"BraZetsu 作为主要恶意软件框架，通过建立初始立足点并持续补充 Infect Marketplace 库存，支持 Exilware 的初始访问经纪人（IAB）运营，"Group-IB 表示。

对匹配 Exilware 命名约定的工件的深入搜索还发现了一个 IP 地址（"38.242.246[.]176"），该地址此前与 AgenteV2 有关联，AgenteV2 是一个基于 Python 的后门，通过冒充司法传票的钓鱼诱饵针对巴西用户。该恶意软件被设计为在银行门户启动时，实时将受害者的屏幕流式传输给攻击者，以促进金融欺诈。

基于共享的代码库、技术、基础设施和功能能力，Group-IB 以高置信度评估认为 AgenteV2 和 BraZetsu 指的是同一个初始访问恶意软件框架。

"该恶意软件的 AI 驱动评估能力通过硬件分析、软件环境分析和网络基础设施映射，自动评估受感染机器的商业潜力，使 Exilware 能够自动分类并根据受害者价值对市场访问权限进行定价，"该公司表示。

"最近的版本显示出对巴西基础设施的独家关注，同时保持多语言能力以进行区域扩展，表明对国内威胁格局的深厚运营知识以及为更广泛的拉丁美洲行动进行的战略定位，目标是关键基础设施和高价值商业领域。"

BraZetsu 远非唯一针对拉丁美洲的恶意软件。最近几周，与黎巴嫩安全总局有联系的网络间谍组织 Dark Caracal 被认定与一起针对委内瑞拉一家通信组织的定向入侵有关。

这起发生在 2026 年 6 月的事件导致了一个此前未记录的基于 Go 的模块化框架（代号 GoCaracal）和一个更新版本的 Bandook 的部署。GoCaracal 存在两种变体：一种建立初始访问并投放额外负载的轻量级植入程序，以及一种用于持续情报收集和交互控制的扩展版本。

"扩展版本还支持以太坊智能合约回退机制，允许操作者在不重新部署恶意软件的情况下检索替代的命令与控制（C2）基础设施，"ArcticWolf 表示。"这些发现表明，Dark Caracal 正在使其既定操作和技术背后的恶意软件和基础设施现代化。"

其传递方式与 Kaspersky 此前记录的一次活动一致，在该活动中，威胁行为者使用包含 SVG 附件的发票主题诱饵，通过 Delphi 加载器分发名为 AsioGate 的后门（Poco RAT 的继任者），攻击针对智利和巴西的用户和实体。

这些发现发布之际，LevelBlue 发现与 Blind Eagle 相关的一名操作者自己的机器被信息窃取器入侵，为该活动提供了关键洞察。Blind Eagle 是一个西班牙语黑客组织，至少自 2018 年以来一直活跃，主要针对拉丁美洲（特别是哥伦比亚和厄瓜多尔）的政府机构、金融机构和企业实体。

"我们在那台机器上发现的内容提供了该操作更广泛的图景：RAT 构建工具、钓鱼模板、批量电子邮件软件、基础设施记录以及反复尝试使恶意文件更难被安全软件检测到的证据，"安全研究员 Serhii Melnyk 表示。

"该机器似乎被一个不相关的商品信息窃取器入侵——与 Blind Eagle 用于从受害者那里窃取信息的恶意软件属于同一通用类型。换句话说，这条线索始于一个明显的攻击方工作站本身被其他人的恶意软件暴露。"