Исследователи Group-IB обнаружили вредоносный Python-фреймворк BraZetsu, который превращает зараженные Windows-системы в товар для других преступников. Малварь собирает данные о жертве, с помощью генеративного ИИ оценивает ценность скомпрометированной машины, после чего доступ к ней можно приобрести на криминальном маркетплейсе Infected Marketplace.

По словам специалистов, BraZetsu лежит в основе криминальной площадки Infected Marketplace (она же Banco de Infects), где злоумышленники могут купить первоначальный доступ к зараженным хостам и удаленно запускать на них собственные инструменты и малварь. Для входа на площадку требуется депозит в размере 5,80 доллара США.

Операторов BraZetsu и Infected Marketplace исследователи отслеживают под названием Exilware. Предполагается, что эта группировка состоит из носителей португальского языка и ее активность нацелена на Бразилию, другие страны Латинской Америки и Пиренейского полуострова. Среди целей Exilware перечислены интернет-магазины, корпоративные сети, финансовые и промышленные организации, а также правоохранительные структуры.

В настоящее время точный способ распространения BraZetsu неизвестен, но исследователи считают наиболее вероятным вариантом социальную инженерию. В обнаруженной ими цепочке атаки используется загрузчик, который маскируется под Microsoft Edge и загружается с домена caixaentradas1inboxshop[.]site, после чего связанные с этим доменом VBS-скрипты переходят к следующей фазе атаки.

На зараженной машине BraZetsu проводит разведку и собирает цифровые сертификаты, историю браузеров Chrome, Edge, Brave, Vivaldi и Opera, делает скриншоты и отслеживает активное в данный момент окно. Кроме того, вредонос изучает переменные окружения, открытые порты и процессы, ищет недавно открытые файлы и директории с установленными ERP-системами, а также позволяет выполнять шелл-команды. Постоянная связь с Infected Marketplace при этом поддерживается через WebSocket.

Отдельное внимание малварь уделяет финансовым файлам в бразильском формате CNAB, который используется компаниями и банками для обмена данными о платежах. Отмечается, что эта функциональность похожа на инструмент CNABHunter, который способен искать и разбирать такие файлы, а также может по команде своих операторов подменять в них банковские реквизиты, PIX-ключи и штрихкоды, перенаправляя платежи злоумышленникам.

Исследователи предполагают, что авторы BraZetsu позаимствовали идею у CNABHunter: атаки BraZetsu были обнаружены всего через день после публичного раскрытия информации о CNABHunter.

При этом подчеркивается, что BraZetsu все же ориентирован не столько на прямое финансовое мошенничество, сколько на первоначальный доступ, разведку и подготовку зараженных систем к продаже.

Исследователи обнаружили пять версий BraZetsu, самая ранняя из которых датирована 9 февраля 2026 года. Отмечается, что, начиная с третьей версии, малварь в основном нацелена на корпоративные системы в Бразилии, но при этом примерно в этот же период операторы Infected Marketplace выставляли на продажу доступ к двум скомпрометированным хостам в США.

Кроме того, анализ инфраструктуры и кода BraZetsu позволил связать малварь с Python-бэкдором AgenteV2, который ранее применялся против бразильских пользователей в фишинговых кампаниях. В Group-IB полагают, что разные версии одного и того же фреймворка, созданного для получения первоначальных доступов.

По оценке специалистов, участники Exilware постепенно превращают BraZetsu в автоматизированную систему, которая сама оценивает коммерческую ценность зараженных машин, а затем пополняет ими ассортимент криминального маркетплейса.