O BraZetsu vírus brasileiro com IA
Como o BraZetsu Infecta os Computadores
Engenharia social, esteganografia e IA generativa por trás do malware brasileiro que abasteceu o mercado clandestino "Infected Marketplace"
O BraZetsu deixou de ser apenas uma curiosidade sobre "malware com IA" para se tornar um caso de estudo em como o cibercrime brasileiro profissionalizou a venda de acesso corporativo. Pesquisadores da Group-IB atribuem o framework, com alto grau de confiança, a um agente de ameaça batizado de Exilware, que desde fevereiro de 2026 opera o "Infected Marketplace" — também citado como "Banco de Infects" — um balcão de vendas para acessos comprometidos.
Diferente de um infostealer comum, o BraZetsu foi desenhado como um kit completo para Initial Access Brokers (IABs): ele não apenas rouba dados, mas perfila, precifica e cataloga cada máquina infectada como um ativo comercializável.
1. A porta de entrada: engenharia social, não exploração técnica
O mecanismo exato de infecção inicial ainda não foi totalmente reconstruído pelos pesquisadores, mas os indícios coletados apontam para um padrão bastante conhecido no submundo latino-americano. A Group-IB rastreou um domínio de distribuição, caixaentradas1inboxshop[.]site, associado a nomes de arquivo como msdege[0-9].exe e wifi_driver.exe — nomenclaturas pensadas para simular processos legítimos do sistema.
Para a Group-IB, esse padrão de nomes e domínio sugere fortemente o uso de engenharia social, tática recorrente entre criminosos locais na região LATAM. Relatos complementares indicam que o ponto de partida costuma ser um carregador ("loader") disfarçado de instalador do Microsoft Edge, distribuído justamente a partir desse domínio de phishing.
2. Reconhecimento silencioso e arquitetura modular
Escrito em Python e compilado para executáveis Windows, o BraZetsu adota uma escolha que dificulta a detecção por assinatura tradicional. Amostras recentes analisadas pela Group-IB apresentam arquitetura modular, ocultam a atividade do console e mantêm um canal WebSocket persistente com a infraestrutura de comando e controle.
O foco declarado do malware não é a exfiltração imediata de credenciais, mas sim o reconhecimento: ele mapeia o dispositivo infectado, os processos em execução, as portas de rede e os softwares ligados a funções de negócio. A partir desse inventário, o operador decide se vale a pena manter, revender ou descartar o acesso.
- Coleta de informações do sistema e enumeração de processos/softwares instalados
- Captura de screenshots e execução de comandos via shell do Windows
- Busca ativa por arquivos financeiros sensíveis — CNAB, .240, .400
- Localização de certificados digitais em formato .PFX e .P12
- Extração de histórico de navegação em navegadores baseados em Chromium
3. O alvo preferencial: o arquivo CNAB e a fraude bancária corporativa
A funcionalidade mais sensível descrita pela Group-IB não é o roubo de dados, mas a manipulação silenciosa deles. Segundo os pesquisadores, quando acionado, o malware reescreve automaticamente os arquivos CNAB originais, substituindo dados bancários legítimos por informações controladas pelo atacante — chaves PIX ou códigos de barras — em um fluxo desenhado especificamente para viabilizar fraude contra o processo de pagamento corporativo.
Isso conecta o BraZetsu diretamente ao ecossistema de ERPs amplamente usados no Brasil (TOTVS, SAP, Senior) e ao padrão bancário Febraban, tornando qualquer empresa que processa remessas por CNAB um alvo potencialmente lucrativo para o "Infected Marketplace".
4. Onde entra a IA generativa
O diferencial anunciado do BraZetsu está na camada de triagem automatizada. Segundo a Group-IB, as capacidades de avaliação orientadas por IA analisam automaticamente o potencial comercial das máquinas comprometidas por meio de perfilamento de hardware, análise do ambiente de software e mapeamento da infraestrutura de rede, permitindo que a Exilware categorize e precifique o acesso de forma automática, de acordo com o valor estimado da vítima.
Na prática, a IA substitui o trabalho manual de um "comprador" avaliando se vale a pena investir em determinado acesso — decidindo, em segundos, se aquela máquina infectada é um ativo de alto ou baixo valor no catálogo criminoso.
5. Infraestrutura de comando e controle
A comunicação com o operador acontece por WebSocket persistente, e parte da configuração do malware é recuperada de posts públicos no Pastebin — os chamados "dead-drop resolvers" —, decodificados com Base64 e ofuscação XOR. A Group-IB também identificou o domínio c2[.]installscenter[.]com como parte da infraestrutura associada.
| Tipo | Indicador | Função |
|---|---|---|
| Domínio | caixaentradas1inboxshop[.]site | Distribuição do loader inicial (disfarçado de Edge) |
| Domínio | c2[.]installscenter[.]com | Infraestrutura de comando e controle |
| URL | pastebin[.]com/raw/aF0WCxia | Dead-drop resolver — configuração C2 cifrada |
| URL | pastebin[.]com/raw/hM0nXNBP | Dead-drop resolver — configuração C2 cifrada |
Indicadores publicados por fontes abertas (Group-IB, Cryptika) apenas para fins defensivos de detecção — não navegue ou interaja com esses endereços.
6. Atribuição e linhagem: Exilware, AgenteV2 e a escala do problema
Com base em código compartilhado, tradecraft, infraestrutura e capacidades funcionais, a Group-IB avaliou com alta confiança que o AgenteV2 e o BraZetsu se referem ao mesmo framework de acesso inicial. O AgenteV2 já havia sido documentado como um backdoor em Python distribuído via phishing que se passa por intimações judiciais, capaz de transmitir a tela da vítima em tempo real para viabilizar fraude financeira.
Foram identificadas cinco gerações distintas do malware desde 9 de fevereiro de 2026, com a terceira geração marcando o estreitamento do foco para alvos corporativos no Brasil — embora acessos a dois hosts comprometidos nos Estados Unidos também tenham sido anunciados no mesmo período.
7. Recomendações defensivas
- Treinamento contra phishing: reforçar a desconfiança sobre instaladores de navegador, PDFs e "atualizações" recebidas por e-mail ou WhatsApp corporativo.
- Controle de execução: bloquear execução de VBS/scripts não assinados e monitorar DLL sideloading em endpoints críticos.
- Proteção de arquivos CNAB: validar remessas bancárias por canal secundário antes de qualquer pagamento, especialmente após picos de tráfego de rede incomuns.
- Gestão de certificados digitais: restringir o armazenamento de arquivos .PFX/.P12 em texto livre no disco; preferir HSM ou cofre de segredos.
- Monitoramento comportamental (EDR/XDR): priorizar detecção por comportamento, já que amostras do BraZetsu escaparam de motores de assinatura tradicionais no VirusTotal.
- Threat Intelligence contínua: acompanhar IOCs publicados por fornecedores como Group-IB e correlacionar com logs internos de proxy/DNS.
Como se proteger de vírus potencializados por IA e engenharia social
Ameaças como o BraZetsu não exploram falha técnica — exploram a confiança humana, acelerada por IA. A defesa eficaz combina cultura, processo e tecnologia:
1. Verificação por canal secundário
Nunca confirme pagamentos, trocas de chave PIX/CNAB ou "atualizações urgentes" apenas pelo canal que recebeu a mensagem. Ligue, use uma palavra-código combinada previamente ou confirme por vídeo com o solicitante — deepfakes de voz e vídeo já são usados para autorizar transferências.
2. Treinamento contra phishing hiperpersonalizado
IA generativa cria iscas de phishing sob medida, imitando estilo de escrita real de colegas e fornecedores. Simulações periódicas e uma cultura de "desconfiar antes de clicar" reduzem drasticamente a taxa de sucesso desses e-mails.
3. Detecção por comportamento (EDR/XDR)
Como malwares modernos escapam de antivírus por assinatura, priorize soluções que analisam comportamento anômalo — execução de scripts incomuns, DLL sideloading, tráfego persistente por WebSocket para domínios desconhecidos.
4. Autenticação forte e Zero Trust
MFA resistente a phishing (chaves físicas/passkeys), segmentação de rede e privilégio mínimo limitam o estrago mesmo quando uma máquina é comprometida — dificultando a revenda do acesso no mercado clandestino.
5. Monitoramento de fontes abertas e Threat Intelligence
Acompanhar IOCs, domínios de distribuição e relatórios de CTI (Group-IB e similares) permite bloquear indicadores antes que cheguem ao usuário final — a essência do trabalho de inteligência defensiva.
6. Plano de resposta a incidentes
Como o modelo IAB revende acessos, uma máquina comprometida hoje pode virar ransomware amanhã. Ter um plano de contenção, isolamento e perícia digital pronto reduz o tempo de exposição da empresa.
Sua empresa processa remessas CNAB ou usa ERP corporativo?
O modelo do BraZetsu mostra que o primeiro sinal de comprometimento raramente aparece nos relatórios financeiros — ele aparece antes, na camada de acesso. Um Diagnóstico OSINT Estratégico ajuda diretoria, TI e compliance a entender a exposição real da empresa a esse tipo de ameaça.
Falar no WhatsApp sobre o Diagnóstico OSINT EstratégicoApuração de incidentes e rastreamento de origem de ataques.
Monitoramento de exposição digital e superfície de ataque.
Coleta e preservação de evidências para uso jurídico/regulatório.
Comentários
Postar um comentário