BraZetsu Malware Turns Compromised Windows Hosts Into Criminal Marketplace Inventory

BraZetsu : Un écosystème malveillant dopé à l’IA

Points clés

• Nature de la menace : BraZetsu est un framework modulaire en Python conçu pour transformer des systèmes Windows compromis en actifs commerciaux vendus sur une place de marché souterraine (“Infected Marketplace”).
• Opérateur : Le groupe “Exilware”, composé de locuteurs portugais, cible principalement les entreprises, institutions financières et organisations gouvernementales en Amérique latine et dans la péninsule Ibérique.
• Usage de l’IA : Le malware utilise l’intelligence artificielle générative pour trier les données des victimes, prioriser les cibles à haute valeur ajoutée et automatiser la tarification de l’accès aux machines infectées.
• Modèle économique : Il fonctionne selon un modèle d’accès-en-tant-que-service (Access-as-a-Service), permettant à des tiers d’acheter un accès aux systèmes et d’y exécuter des charges utiles secondaires.
• Lien avec la fraude financière : Le malware recherche activement les fichiers CNAB (norme bancaire brésilienne) pour faciliter la fraude, montrant une parenté technique avec l’outil “CNABHunter”.

Vulnérabilités exploitées

• L’article ne mentionne pas de CVE spécifique, mais souligne l’exploitation de techniques d’ingénierie sociale (campagnes de phishing par e-mail), le téléchargement de malwares masqués, et l’exécution via DLL Sideloading ou injection de processus.

Recommandations

• Formation à la sécurité : Sensibiliser les employés aux risques de phishing, particulièrement pour les documents de type facture ou sommation judiciaire.
• Filtrage réseau : Bloquer les domaines suspects et limiter l’accès aux sites de téléchargement non approuvés (ex: domaines liés à la distribution de loaders).
• Surveillance des processus : Détecter les activités anormales telles que l’exécution de scripts VBS, les captures d’écran inopinées, et les tentatives d’accès aux fichiers financiers (format CNAB) ou aux répertoires ERP.
• Protection des endpoints : Utiliser des solutions EDR/XDR capables d’identifier les comportements suspects liés aux frameworks Python malveillants et de bloquer les communications WebSocket non autorisées vers des serveurs C2.
• Audit d’accès : Renforcer la sécurité des accès distants et auditer régulièrement les privilèges accordés pour limiter le potentiel d’escalade en cas d’infection initiale.

Source