AIを活用したBraZetsuマルウェア、企業ネットワークへのアクセスを売買するアンダーグラウンド市場を支える

BraZetsuは、ブラジルの脅威アクターExilwareが運用しているとされるPythonベースのWindowsマルウェアフレームワークで、侵害した企業システムを特定・プロファイリングし、収益化することを目的としています。

BraZetsuは従来型の情報窃取型マルウェアとしてではなく、Initial Access Broker(初期アクセスブローカー)業務を支援するように設計されているとみられ、感染したエンドポイントをアンダーグラウンド市場向けにカタログ化されたアクセス商品へと変換します。

報告によれば、このフレームワークはExilwareが運営する「Infected Marketplace」(通称Banco de Infects)の技術的な基盤となっており、犯罪者はここで侵害済みマシンへのアクセスを購入し、二次的なペイロードを展開できます。

このビジネスモデルは、初期侵害と後続の悪用を切り分けることで、ランサムウェアのアフィリエイトや詐欺グループ、その他の侵入者にとっての参入障壁を下げています。

BraZetsuは、被害システムを売りに出す前にその「価値」を見極めるよう設計されています。

その偵察活動は、企業、金融、産業、法執行機関、医療、eコマース、開発、ITサポートといった幅広い環境に及んでいます。

このマルウェアは、インストール済みアプリケーション、プロセス、ネットワークサービス、ブラウザプロファイル、アクティブウィンドウ、最近使用したファイル、ホストのメタデータ、セキュリティツールなどを列挙します。

CompareSecurity Systems

さらに、SAP、TOTVS、Protheus、Warsaw、Topaz、Diebold、Veeam、Oracle、SQL Server、PostgreSQL、Docker、AWSの認証情報、Azureの設定ディレクトリ、Kubernetesの設定ファイル、さらにはWinCC、RSLogix、FactoryTalkといった産業用プラットフォームなど、価値の高いエンタープライズシステムの痕跡も探索します。

特に注目すべき機能として、このマルウェアがブラジルのCNAB送金ファイルを検索する点が挙げられます。

これらのファイルは、企業が銀行に対して一括の支払い指示を送る際に使用されるもので、その存在は侵害されたエンドポイントが金融関連業務に関わっている可能性を示す強力な指標となります。

BraZetsuはまた、ユーザープロファイルやOneDriveの保存場所に置かれたものを含め、.pfxおよび.p12形式のデジタル証明書も探索します。

このマルウェアは、従来型の情報窃取マルウェアのように単にブラウザの認証情報を収集するだけではありません。

Chrome、Edge、Brave、Vivaldi、OperaなどChromiumベースのブラウザから閲覧履歴を抽出し、それをおよそ230件のターゲットとなるドメインやパスのリストと照合します。

これにより、攻撃者は被害者の行動プロファイルを把握でき、被害者が利用している金融プラットフォーム、ERPポータル、管理コンソール、クラウドサービス、業務アプリケーションなどを明らかにできます。

この評価は、すべてのコンポーネントがAIによって生成されたことを証明するものではありませんが、内部に埋め込まれた文字列からは、コマンド&コントロール(C2)のバックエンドが盗み出したメタデータを処理し、価値の高いファイルやシステムを優先順位付けするためにAIエンジンを利用している可能性が示唆されています。

ここが重要な変化のポイントです。AIを活用した開発は反復的なマルウェア更新を加速させる一方、バックエンドでのトリアージはアクセスブローカーが数千台規模の侵害済みマシンを商業的な価値に応じて仕分ける助けになります。

GBhackersと共有されたレポートの中でGroup-IBは、BraZetsuには冗長なポルトガル語のログ出力や絵文字を多用したステータスメッセージ、開発時の痕跡が含まれており、マルウェア開発時に生成AIが広く使用されたことをうかがわせると述べています。

AIを活用したBraZetsuマルウェア

ERPプラットフォーム、銀行系ソフトウェア、DevOpsのシークレット、デジタル証明書、あるいはSCADA環境へのアクセス権を持つワークステーションは、一般的な個人向けエンドポイントよりもはるかに買い手にとって魅力的な対象となります。

報告によれば、BraZetsuは2026年2月に基本的なリモートアクセス機能から進化を始め、その後より広範な情報収集プラットフォームへと発展していったとされています。

最近の亜種は、リモートシェルコマンド、スクリーンショットの取得、ワーカーモジュールの展開、システムインベントリの収集、ネットワーク列挙、そしてPastebinを利用したデッドドロップ・リゾルバーを介した暗号化設定情報の取得に対応しています。

研究者らは、BraZetsuのインフラを、Exilwareが運営するとされるInfect Marketplaceに結び付けています。このマーケットプレイスは低い参入コストで侵害済みホストへのアクセスを販売しているとされています。

このプラットフォームの商業的な設計により、買い手は事前に侵害済みのシステムを入手し、追加のペイロードをリモートで実行して、フィッシングインフラの構築やマルウェア開発に投資することなく、自らの目的を追求できます。

Group-IBは、BraZetsuがこのマーケットプレイスの在庫を補充する主要なフレームワークであるとの評価を高い確度で示しています。

この活動はこれまでブラジルおよび広くイベリア・ラテンアメリカ地域に集中していましたが、研究者らは2026年4月に米国拠点の侵害済みシステムも市場に出品されているのを確認しており、従来の活動範囲を超えて拡大している可能性を示唆しています。

このフレームワークは、これまでに確認されているagenteV2キャンペーンとも重なる部分があります。

ANY.RUNの報告によると、agenteV2はブラジルの司法通知になりすましたフィッシングの誘い文句、持続的なWebSocketバックドア、画面ストリーミング、リモートシェルアクセス、Pastebinを利用したC2解決、そしてNuitkaでコンパイルされたPythonペイロードを使用しています。

このキャンペーンは、フィッシングによって配布されたアクセスツールが、金融詐欺から永続的かつオペレーター主導の侵入へと移行し得ることを示しています。

ブラジルおよびラテンアメリカで事業を展開する組織は、BraZetsuを単なる銀行系マルウェアの問題としてではなく、アクセスブローカーによる脅威として扱うべきです。

セキュリティチームは、不審なVBScriptの実行、許可されていないスケジュールタスク、レジストリのRunキーによる永続化、ポート8443経由の不審な発信TLS通信を監視する必要があります。

CompareSecurity Systems

また、ブラウザのデータベースを一時フォルダへコピーする挙動や、ERP、銀行系、バックアップ、産業用、クラウド開発関連ツールを標的としたエンドポイント列挙にも注意が必要です。

デッドドロップ・リゾルバーの利用は、静的なIPブロックだけでは不十分であることを意味します。

防御側は、エンドポイントの挙動分析とDNS、プロキシ、ネットワーク、脅威インテリジェンスの監視を組み合わせ、インフラの変化を迅速に特定し、影響を受けたシステムを速やかに隔離する必要があります。

Group-IBの脅威インテリジェンスプラットフォームは、マルウェアの痕跡、悪意あるインフラ、ダークウェブ上の活動、攻撃者の手口を相関分析することで、個々の指標を実際に対応可能なデータへと変える、より広範な価値を強調しています。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス環境内でのみ行ってください。

★ どのセキュリティツールを削るべきか?1ページでスコアリング — Inherited Security Stack Guideをダウンロード