ハッキングされたコンピュータは今や商品と化しており、その価値はバンキングソフトウェア、企業システム、保有者データなどの情報に基づいてアルゴリズムが算出しています。Group-IBの専門家は、地下マーケットプレイスに組織への即席の侵入口を供給する「BraZetsu」という悪意あるフレームワークを発見しました。
ブラジルの脅威アクター「Exilware」との関連
Group-IBは、BraZetsuをブラジルの脅威アクターであるExilwareと高い確度で関連付けています。このフレームワークはアクセスブローカー用ツールとして機能し、Windowsシステムに常駐した上でWebSocket経由でコマンドサーバーに接続し、コマンドの実行やスクリーンショットの取得、追加の悪意あるモジュールの起動を可能にします。
被害者を価値でプロファイリング
BraZetsuは感染環境を調査し、そのコンピュータの潜在的な収益性を測るためのタグを付与します。マルウェアはバンキングプログラム、ERPシステム、セキュリティツール、クラウド設定、バックアップ、産業用ソフトウェアを検索します。特に注目されるのは、CNAB形式の金融ファイル、デジタル証明書、ブラウザ履歴、企業ネットワークに関する情報です。
生成AI利用の痕跡
コードには、開発過程で生成AIが積極的に使用されたことを示す痕跡が見られ、詳細なログや絵文字が含まれています。BraZetsu内の文字列には、盗み出した情報を分類し優先ターゲットを特定するためのサーバー側AIについての言及もあります。ただし、こうした仕組みが実際の運用でどの程度広く適用されているかについては、Group-IBも特定できていません。
5つのバージョンとマーケットプレイス
Group-IBは、2026年2月以降、BraZetsuの5つのバージョンを追跡してきました。シンプルなリモートアクセスツールから、自動偵察のためのプラットフォームへと進化しています。感染したコンピュータは「Infect Marketplace」(別名Banco de Infects)に出品されていました。購入者は最低30ブラジルレアルを支払うことで、条件に合うシステムを選び、そこへ自身のマルウェアを遠隔からアップロードできる仕組みでした。
侵入経路と対策
初期感染の正確な手法はまだ判明していません。発見されたドメインやVBSスクリプト、msedge[0-9].exeやwifi_driver.exeといったファイル名は、ソーシャルエンジニアリングと正規ソフトウェアへの偽装を示唆しています。Group-IBは、こうしたファイル名や不審なWebSocket接続、Pastebinへのリクエスト、証明書・金融ファイルの検索を監視するとともに、重要システムを他のネットワークセグメントから分離するよう推奨しています。
翻訳元: https://meterpreter.org/brazetsu-malware/
