BraZetsu, il malware brasiliano che trasforma ogni PC in un prodotto sul dark

Il framework malware BraZetsu, attribuito con alta confidenza al threat actor brasiliano Exilware, sta ridefinendo il modello di business del crimine informatico in America Latina. Il 3 settembre 2026 i ricercatori di Group-IB hanno pubblicato un'analisi tecnica che documenta cinque versioni distinte del toolkit, il cui nucleo operativo consiste nel trasformare sistemi Windows compromessi in asset commerciali vendibili su un marketplace underground chiamato "Infected Marketplace". La novità non è la tecnica, ma l'economia: l'accesso iniziale diventa servizio, i compratori eseguono payload da remoto, e l'intelligenza artificiale gestisce triage e pricing.

Da infostealer a marketplace: l'architettura commerciale di BraZetsu

Julio Guapo Menezes e Miguel Salazar, analisti malware di Group-IB, hanno delineato una distinzione netta nel report: "Unlike the standard infostealer model, BraZetsu is a comprehensive master toolkit that empowers Initial Access Brokers (IABs) by turning compromised systems into highly valuable commercial assets". La differenza operativa è sostanziale. Un infostealer tradizionale estrae credenziali e le vende in bulk; BraZetsu mantiene accesso persistente, cataloga la macchina come inventario e permette all'acquirente di utilizzarla come piattaforma di lancio.

L'architettura tecnica riflette questa maturità commerciale. Il framework è scritto in Python e compilato con Nuitka, un transpiler che genera eseguibili nativi rendendo più complessa la reverse engineering. La comunicazione con il comando e controllo avviene tramite protocollo WebSocket, che garantisce canali persistenti e bidirezionali rispetto alle classiche connessioni HTTP polling. Alcuni campioni analizzati erano completamente non rilevabili — nel report Group-IB compare uno screenshot VirusTotal con zero rilevazioni — al momento dell'analisi.

La raccolta dati è estensiva e orientata al commercio. BraZetsu enumera applicazioni installate, processi attivi, servizi di rete, profili browser, finestre aperte, file recenti, metadati hardware e presenza di tool di sicurezza. Confronta gli URL estratti dalla cronologia di Chrome, Edge, Brave, Vivaldi e Opera contro una lista di circa 230 domini e path target per profilare il comportamento della vittima. Cerca specificamente file di rimessa CNAB, il formato bancario brasiliano, e certificati digitali con estensione .pfx e .p12. Questa granularità non serve alla vendita di credenziali isolate, ma alla stima del prezzo di mercato dell'accesso.

AI generativa nel workflow criminale: sviluppo e triage

L'integrazione dell'intelligenza artificiale distingue BraZetsu dai precedenti toolkit della regione. Group-IB documenta "heavy reliance on generative AI, not only for development but potentially also for backend data triage". La prima componente è verificata: artefatti di sviluppo e logging verboso in portoghese, con uso estensivo di emoji nei messaggi di stato, suggeriscono che modelli generativi abbiano assistito la stesura del codice e della documentazione interna. La seconda componente — l'automazione del triage dei dati raccolti e la prioritizzazione dei bersagli — è segnalata come probabile ma non confermata a livello di infrastruttura backend.

La fonte non specifica quale modello generativo venga impiegato né dove risiedano i server di elaborazione. Resta documentato che "The malware's AI-driven assessment capabilities automatically evaluate compromised machines' commercial potential through hardware profiling, software environment analysis, and network infrastructure mapping". Questa valutazione automatica determina se un host meriti catalogazione immediata nel marketplace o venga scartato come low-value.

Il modello "access-as-a-service" e il moltiplicatore di minaccia

"By functioning as a service-enabled platform, the marketplace allows criminal customers to remotely execute secondary malicious payloads on purchased access, creating a persistent threat-multiplier effect across the regional ecosystem" — Group-IB

La struttura commerciale dell'Infected Marketplace, noto anche come "Banco de Infects" e raggiungibile al dominio infect[.]online, abbassa la barriera all'ingresso per threat actor che non dispongono di capacità di accesso iniziale proprie. Il deposito iniziale di circa 5,80 dollari, riportato da The Hacker News citando il report Group-IB, posiziona il servizio in una fascia di prezzo accessibile anche a operatori minori. L'acquirente non riceve credenziali statiche: ottiene un'interfaccia per l'esecuzione remota di payload su host già compromessi, con persistenza gestita dal venditore.

Questa separazione di ruoli — chi compromette, chi commercializza, chi sfrutta — replica nei mercati criminali latinoamericani modelli già consolidati nel ransomware anglosassone. Il rispecifico per l'ecosistema locale è l'integrazione con infrastrutture finanziarie brasiliane. La ricerca di file CNAB e certificati digitali indica che Exilware mantiene contatti operativi con la tradizione di malware bancario nazionale, anche mentre espande verso target corporate internazionali. Il dominio caixaentradas1inboxshop[.]site, utilizzato per distribuire BraZetsu, è stato precedentemente impiegato anche per il trojan bancario Ousaban, documentando sovrapposizione infrastrutturale con famiglie malware consolidate.

Timeline evolutiva e convergenza con AgenteV2

La prima iterazione di BraZetsu è datata 9 febbraio 2026. La prima osservazione del framework con le caratteristiche documentate risale al 2 maggio 2026. Tra queste date e la pubblicazione del report sono emerse cinque versioni distinte, con una traiettoria evolutiva chiara: la terza generazione ha eliminato il targeting generalista per concentrarsi esclusivamente su organizzazioni corporate brasiliane. Questo restringimento suggerisce un feedback commerciale — i compratori richiedevano accessi di maggior valore — che ha guidato lo sviluppo.

La convergenza con AgenteV2 è stata stabilita da Group-IB con alta confidenza attraverso quattro ancore: codebase condiviso, tradecraft identico, infrastruttura sovrapposta — incluso l'indirizzo IP 38.242.246.176 precedentemente associato ad AgenteV2 — e parità delle capacità funzionali. Questa identificazione colloca BraZetsu in una linea di continuità operativa piuttosto che come progetto ex novo, con implicazioni per la profilazione del threat actor Exilware.

Il rapporto con CNABHunter, un altro malware brasiliano specializzato nella ricerca di file bancari, è invece limitato. Group-IB verifica che "the only notable code overlap between the two artifacts is the directory list used to locate CNAB-related files". Architetture, workflow, obiettivi, server C2 e protocolli di comunicazione differiscono. La "connection remains unknown", con l'unica connessione plausibile rappresentata dall'opportunità di profitto condivisa nel targeting del settore finanziario brasiliano.

Perche e importante

Il dossier Group-IB non specifica il vettore di infezione iniziale con certezza. La fonte indica il social engineering come "the most likely culprit", senza confermare la modalità di delivery. Questo limite impedisce di definire contromisure tecniche mirate alla prevenzione dell'ingresso.

Il brief non documenta misure correttive specifiche rilasciate da vendor o autorità. Non emerge alcuna indicazione su patch, regole di rilevamento, o azioni di hardening approvate dalla fonte primaria. Group-IB non quantifica il numero totale di vittime, acquirenti o transazioni completate sul marketplace, limitando la stima dell'estensione reale della minaccia.

L'estensione geografica documentata si concentra su America Latina e Iberia, con osservazione sporadica di sistemi compromessi negli Stati Uniti a partire da aprile 2026. Il brief non specifica se questi ultimi rappresentino espansione deliberata di Exilware o acquirenti che hanno rivenduto l'accesso a operatori con interessi diversi.

Il grado effettivo di automazione AI nel backend del marketplace resta non verificato. La fonte utilizza "potentially" per qualificare il triage dati assistito da intelligenza artificiale, distinguendo tra componente di sviluppo — dove l'uso di modelli generativi è documentato — e componente operativa — dove resta ipotesi fondata.

Il rapporto tra BraZetsu e Ousaban, documentato attraverso la condivisione del dominio di distribuzione, non consente di stabilire se Exilware operi direttamente il trojan bancario o abbia acquisito infrastruttura precedentemente utilizzata da altri operatori.

Group-IB ha rilasciato indicatori di compromesso specifici, inclusi domini e indirizzi IP associati all'infrastruttura di BraZetsu. La fonte non specifica se tali IOC siano stati condivisi con le autorità brasiliane o con il sistema di alert collettivo regionale.

Lettura: il mercato dell'accesso si professionalizza più in fretta delle difese

BraZetsu non rappresenta un'innovazione tecnologica radicale. Rappresenta un'innovazione organizzativa: la standardizzazione del crimine informatico come servizio, con quality assurance automatizzata e pricing dinamico. Il passaggio da frode bancaria locale a Initial Access Brokerage globale, compiuto da un gruppo di lingua portoghese in meno di sette mesi, indica che la commoditizzazione dell'accesso non è più prerogativa dei mercati anglosassoni.

Per le organizzazioni in America Latina e Iberia, la conseguenza operativa è un allargamento della superficie di attacco. Non servono più competenze interne per compromettere un'azienda: servono circa 6 dollari e un acquirente con payload pronto. Il moltiplicatore di minaccia citato da Group-IB è letterale: ogni host compromesso diventa piattaforma per ulteriori compromissioni, con tracciabilità attenuata dalla separazione tra chi vende e chi colpisce.

La componente AI, ancora parzialmente opaca, anticipa probabilmente una tendenza più che una singolarità. Se il triage backend venisse confermato, il ciclo compromissione-valutazione-vendita si abbrevierebbe da ore a minuti, con impatti sui tempi di risposta incidenti che i framework attuali non coprono.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/brazetsu-malware-turns-compromised.html
• https://thomasharris6.wordpress.com/2026/09/03/brazetsu-malware-turns-compromised-windows-hosts-into-criminal-marketplace-inventory/
• https://gbhackers.com/ai-enhanced-brazetsu-malware/
• https://www.group-ib.com/blog/brazetsu-ai-enhanced-iab-marketplace/
• https://nvd.nist.gov/vuln/detail/cve-2025-5777
• https://www.bleepingcomputer.com/news/security/cisa-tags-citrix-bleed-2-as-exploited-gives-agencies-a-day-to-patch/
• https://nvd.nist.gov/#ok