Group-IBは、サイバー犯罪者が侵害した企業システムへのアクセス権を取得・評価・販売する目的で作られたPythonベースのWindowsマルウェアフレームワーク「BraZetsu」を発見しました。
このマルウェアはブラジルの脅威アクター「Exilware」と高い確度で関連付けられており、アンダーグラウンドの「Infected Marketplace」を支える技術的な基盤として機能しています。
従来型の情報窃取型マルウェア(インフォスティーラー)とは異なり、BraZetsuは主に初期アクセス獲得と情報収集を目的として構築されています。感染したコンピュータのプロファイルを作成し、価値の高いビジネスアプリケーションやデータを特定した上で、収集した情報を攻撃者に送信します。
これにより犯罪者は、侵害したどのマシンが最も高い商業的価値を持つかを判断できるようになります。このマルウェアは、ブラジルをはじめイベリア半島やラテンアメリカ地域の組織を標的にしてきました。
偵察活動の対象は、金融機関、ERPプラットフォーム、eコマースシステム、産業環境、政府機関のネットワーク、医療システム、暗号資産サービス、ITインフラなど多岐にわたります。
BraZetsuは2026年2月以降、少なくとも5つのバージョンを経て進化してきました。初期バージョンでは基本的なリモートアクセス機能のみでしたが、新しいリリースではより高度なシステムプロファイリング、財務ファイルの探索、ブラウザ履歴の収集、証明書の窃取、そして被害者の自動分類機能が追加されています。
BraZetsuの特に注目すべき特徴の一つは、生成AIを活用しているとみられる点です。Group-IBは、AI支援による開発を示唆する大量のログメッセージ、絵文字、コード構造を確認しています。
さらに重要なのは、マルウェア内の文字列から、バックエンドのAIエンジンが窃取した情報を処理し、ファイルや侵害システムに優先順位を付ける判断を支援している可能性がうかがえることです。
BraZetsuは価値の高い環境を特定するために、数多くのチェックを実行します。SAP、TOTVS、Senior、Warsaw、Diebold、SCADAプラットフォーム、Veeam、Docker、VPNソフトウェア、医療システム、eコマースプラットフォーム、その他の企業向け技術に関連するアプリケーションや痕跡を探索します。
システム情報の収集、プロセスやインストール済みソフトウェアの列挙、スクリーンショットの取得、Windowsシェルコマンドの実行、さらにはCNAB、.240、.400といった機密性の高い財務ファイルの探索も可能です。加えて、拡張子が.PFXや.P12のデジタル証明書も探索対象となります。
BraZetsuは、持続的なWebSocket接続を通じてコマンド&コントロール(C2)インフラと通信を確立します。設定情報はPastebinから取得され、Base64とXORベースの難読化によってデコードされます。
このマルウェアはExilwareの「Infected Marketplace」と密接に結び付いており、そこでは侵害されたシステムが商業的な資産として提供されています。犯罪者である購入者はアクセス権を購入でき、取得したマシンに独自の悪意あるペイロードを展開することも可能とみられます。
Group-IBはさらに、BraZetsuと以前確認されていたマルウェア「AgenteV2」との間にインフラの重複があることも特定しました。共通するファイル名、Python/Nuitkaによるコンパイル手法、機能性、C2インフラ、そしてPastebinを利用した設定情報の取得方法などが一致しています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/brazetsu-ai-malware-markets/
