Wprowadzenie do problemu / definicja
BraZetsu to zaawansowane złośliwe oprogramowanie napisane w Pythonie, którego celem nie jest wyłącznie kradzież danych czy jednorazowe uzyskanie dostępu do komputera. Framework kompromituje hosty z systemem Windows, analizuje ich wartość operacyjną i biznesową, a następnie przygotowuje je do odsprzedaży jako gotowe punkty wejścia dla innych cyberprzestępców.
Taki model działania wpisuje się w schemat access-as-a-service oraz działalność brokerów initial access. W praktyce oznacza to, że przejęty komputer staje się towarem, który może zostać wykorzystany później do ransomware, oszustw finansowych, kradzieży danych lub ruchu bocznego w sieci organizacji.
W skrócie
BraZetsu to modularny zestaw narzędzi służący do rozpoznania środowiska ofiary, zbierania danych o systemie i przygotowania hosta do dalszej monetyzacji. Zagrożenie koncentruje się na systemach Windows, ze szczególnym naciskiem na środowiska korporacyjne i finansowe.
- prowadzi rekonesans hosta i sieci,
- zbiera historię przeglądania, certyfikaty i dane środowiskowe,
- identyfikuje procesy, porty i aktywność użytkownika,
- wyszukuje pliki finansowe, w tym dane w formacie CNAB,
- umożliwia utrzymanie zdalnej kontroli i wdrażanie kolejnych ładunków.
Kontekst / historia
BraZetsu jest przykładem rosnącej profesjonalizacji cyberprzestępczości. Współczesne grupy coraz częściej dzielą cały łańcuch ataku na osobne etapy, w których jedni operatorzy odpowiadają za początkową kompromitację, a inni za dalsze wykorzystanie uzyskanego dostępu.
W tym przypadku malware ewoluowało z prostszego narzędzia zdalnego dostępu do rozbudowanego frameworka rekonesansowego. Jego rozwój wiązany jest z działalnością określaną jako Exilware oraz z przestępczym rynkiem handlującym zainfekowanymi hostami. Istotne jest także ukierunkowanie na specyfikę regionalną, zwłaszcza na brazylijskie procesy finansowe i pliki CNAB wykorzystywane w rozliczeniach między firmami i bankami.
Analiza techniczna
Od strony technicznej BraZetsu wykorzystuje architekturę modułową, co pozwala operatorom rozwijać nowe funkcje bez przebudowy całego łańcucha infekcji. Malware kataloguje cechy hosta, analizuje zainstalowane oprogramowanie i zbiera artefakty świadczące o potencjalnej wartości ofiary dla kolejnych nabywców dostępu.
Z obserwacji wynika, że zagrożenie potrafi pozyskiwać historię z przeglądarek takich jak Chrome, Edge, Brave, Vivaldi i Opera. Dodatkowo zbiera certyfikaty cyfrowe, wykonuje zrzuty ekranu, ustala tytuł aktywnego okna oraz enumeruje procesy, porty sieciowe i zmienne środowiskowe.
Malware lokalizuje również ostatnio otwierane pliki, uruchamia polecenia powłoki i wspiera działania interaktywne na przejętym hoście. Szczególnie istotne jest wyszukiwanie katalogów typowych dla systemów ERP oraz identyfikacja plików związanych z formatem CNAB, co wskazuje na nacisk na środowiska finansowe i księgowe.
W komunikacji z infrastrukturą operacyjną BraZetsu wykorzystuje WebSocket, co ułatwia utrzymanie stałego kanału komunikacyjnego i zdalne zarządzanie systemem ofiary. Operatorzy mieli także stosować mechanizmy pośrednie do pozyskiwania danych C2, utrudniając analizę statyczną i blokowanie infrastruktury.
Choć pełny łańcuch dostarczenia nie został jednoznacznie potwierdzony, najbardziej prawdopodobnym wektorem pozostaje socjotechnika. Zaobserwowano loader podszywający się pod Microsoft Edge oraz użycie skryptów VBS pobierających kolejne etapy infekcji.
Konsekwencje / ryzyko
Największe zagrożenie związane z BraZetsu polega na tym, że pojedyncza kompromitacja może zostać przekształcona w aktywo wielokrotnego użytku. Jeśli dostęp do hosta trafia na cyberprzestępczy marketplace, organizacja nie ma już do czynienia wyłącznie z jednym intruzem, lecz z wieloma potencjalnymi nabywcami.
To znacząco podnosi ryzyko eskalacji incydentu do poważniejszych scenariuszy. W praktyce konsekwencją może być wdrożenie ransomware, kradzież danych, fraud finansowy, dalszy ruch boczny w sieci, sabotaż operacyjny albo instalacja dodatkowych implantów.
- profilowanie wartości biznesowej ofiary,
- rozpoznanie procesów finansowych i rozliczeniowych,
- identyfikacja oprogramowania korporacyjnego,
- utrzymanie trwałej zdalnej kontroli nad hostem,
- możliwość wdrażania kolejnych payloadów przez strony trzecie.
Dla sektorów finansowego, przemysłowego, handlowego i administracyjnego oznacza to zwiększone ryzyko wtórnego wykorzystania incydentu. Dodatkowym problemem jest specjalizacja regionalna operatorów, którzy rozumieją lokalne procesy biznesowe i formaty danych.
Rekomendacje
Organizacje powinny traktować BraZetsu jako zagrożenie łączące cechy infostealera, narzędzia rekonesansowego i platformy initial access. Obrona wymaga podejścia wielowarstwowego, obejmującego zarówno ochronę końcówek, jak i monitoring sieci oraz procesów biznesowych.
- monitorowanie uruchamiania skryptów VBS, PowerShell i nietypowych loaderów,
- wykrywanie procesów podszywających się pod legalne aplikacje, zwłaszcza przeglądarki,
- analiza ruchu wychodzącego WebSocket i anomalii komunikacyjnych,
- ścisłe monitorowanie dostępu do katalogów z plikami finansowymi i danymi CNAB,
- segmentacja sieci i ograniczanie lokalnych uprawnień użytkowników,
- wdrożenie EDR lub XDR z naciskiem na telemetrykę skryptów i persistence,
- monitorowanie dostępu do historii przeglądarek, certyfikatów i katalogów ERP,
- stosowanie MFA odpornego na phishing tam, gdzie to możliwe,
- wzmocnienie ochrony poczty i szkoleń antyphishingowych,
- przygotowanie procedur threat huntingu pod kątem enumeracji portów, zrzutów ekranu i wykonywania poleceń powłoki.
W przypadku podejrzenia infekcji należy zakładać, że dostęp mógł zostać już odsprzedany. Sama eliminacja pojedynczego pliku malware może nie wystarczyć. Niezbędna jest pełna analiza ruchu bocznego, ocena trwałości dostępu, rotacja poświadczeń oraz sprawdzenie, czy w środowisku nie umieszczono dodatkowych komponentów.
Podsumowanie
BraZetsu pokazuje, że nowoczesne malware coraz częściej pełni funkcję zaplecza biznesowego dla cyberprzestępców. Celem nie jest jedynie szybka kradzież danych, ale budowa katalogu wartościowych ofiar i sprzedaż gotowego dostępu na podziemnym rynku.
Połączenie modułowej architektury, rozbudowanego rekonesansu, koncentracji na środowiskach korporacyjnych oraz zainteresowania procesami finansowymi sprawia, że jest to zagrożenie szczególnie istotne dla organizacji działających w Ameryce Łacińskiej lub współpracujących z tamtejszym rynkiem. Z perspektywy obrony kluczowe jest szybkie wykrywanie wczesnych etapów infekcji i przyjęcie założenia, że każdy skuteczny foothold może zostać zmonetyzowany przez kolejnych napastników.