BraZetsu: malware brasileiro usa inteligência artificial para mapear redes corporativas e vender acessos
Pesquisadores de segurança identificaram uma ameaça para Windows chamada BraZetsu, desenvolvida para invadir ambientes corporativos, levantar informações sobre a infraestrutura das empresas e selecionar os sistemas mais valiosos para comercialização no mercado clandestino. A campanha concentra-se principalmente no Brasil, em outros países da América Latina e em regiões da Península Ibérica.
O malware é associado, com elevado grau de confiança, ao grupo brasileiro Exilware, apontado como um *Initial Access Broker* – corretor de acesso inicial. Esse tipo de criminoso não necessariamente conduz toda a operação após a invasão. Em vez disso, compromete organizações, documenta os recursos disponíveis e vende as credenciais ou máquinas invadidas para grupos especializados em fraude, espionagem, extorsão e ransomware.
Como o BraZetsu atua dentro das empresas
O BraZetsu foi escrito em Python e apresenta uma arquitetura modular, o que facilita a inclusão de novos recursos e a adaptação do código a diferentes alvos. Depois de instalado, o programa estabelece comunicação com seu servidor de comando e controle por meio do protocolo WebSocket.
Essa conexão permite que os operadores enviem instruções remotamente e acompanhem o ambiente comprometido. Entre as funções observadas estão a execução de comandos, a captura de telas e o levantamento automatizado de informações sobre computadores, usuários e sistemas acessíveis pela rede.
A finalidade principal não parece ser apenas roubar dados de forma indiscriminada. O malware trabalha como uma ferramenta de reconhecimento comercial: identifica quais máquinas oferecem maior potencial financeiro e reúne informações capazes de aumentar o valor do acesso vendido a terceiros.
Alvos de maior interesse
Durante a análise do ambiente, o BraZetsu procura aplicações e arquivos ligados a operações críticas. Entre os alvos estão softwares bancários, sistemas ERP, plataformas de comércio eletrônico, ambientes industriais, ferramentas utilizadas por desenvolvedores, soluções de backup e programas de segurança.
A presença desses recursos pode indicar que a empresa possui dados financeiros relevantes, capacidade operacional estratégica ou infraestrutura suficiente para interessar a grupos de ransomware. Um sistema de backup acessível, por exemplo, pode permitir a interrupção da recuperação após um ataque. Já um ERP pode expor informações contábeis, fiscais, comerciais e de fornecedores.
A ameaça também busca arquivos financeiros no padrão brasileiro CNAB, utilizado na troca de informações entre empresas e instituições bancárias. Certificados digitais estão entre os elementos mais sensíveis procurados, pois podem ser empregados para autenticação, assinatura de documentos ou acesso a serviços corporativos.
O histórico dos navegadores também é coletado. Esse material pode revelar portais administrativos, serviços em nuvem, sistemas internos e páginas acessadas com frequência, além de fornecer pistas sobre possíveis credenciais armazenadas ou sessões ainda ativas.
Indícios de inteligência artificial na operação
Um dos aspectos mais relevantes do BraZetsu é a presença de sinais de uso intensivo de inteligência artificial generativa durante o desenvolvimento do código. A estrutura do malware contém características compatíveis com a produção automatizada ou assistida, embora os pesquisadores não tenham estabelecido com precisão quais partes foram criadas dessa maneira.
Mensagens encontradas na operação também sugerem que um componente de IA, executado no servidor dos criminosos, pode ser usado para classificar arquivos roubados e ordenar as máquinas de acordo com seu possível valor. Em vez de analisar manualmente grandes volumes de dados, os operadores poderiam utilizar modelos automatizados para identificar rapidamente documentos financeiros, certificados e informações consideradas estratégicas.
Ainda não está claro se a inteligência artificial participa apenas da triagem ou se também ajuda a tomar decisões sobre os próximos passos do ataque. A tecnologia pode, por exemplo, auxiliar na priorização de vítimas, na categorização de sistemas ou na seleção dos acessos mais atraentes para compradores.
Um malware com 27 funções
A análise técnica identificou 27 funções no BraZetsu. Grande parte delas está relacionada à descoberta automática de recursos e à coleta de informações. Esse conjunto reforça a hipótese de que a ameaça foi criada para reconhecimento e preparação de invasões, e não apenas para realizar uma ação isolada.
A modularidade também permite que os criminosos ativem somente os recursos necessários em cada vítima. Em uma empresa, pode ser mais importante procurar certificados digitais; em outra, localizar ferramentas industriais, servidores de backup ou sistemas financeiros. Essa flexibilidade reduz a exposição do malware e aumenta a eficiência da operação.
Outro benefício para os invasores é a possibilidade de atualizar componentes sem substituir toda a ameaça. Caso um mecanismo de detecção identifique determinada função, os operadores podem alterar um módulo específico, mantendo o restante da estrutura em funcionamento.
Como funciona o mercado de acessos invadidos
O Exilware atua em uma cadeia criminosa na qual cada participante desempenha uma função diferente. O grupo responsável pela invasão inicial obtém acesso à rede e reúne informações sobre a vítima. Depois, vende esse acesso para outros criminosos, que podem instalar ransomware, executar fraudes, roubar dados ou realizar espionagem.
Esse modelo reduz o tempo necessário para lançar ataques e permite que operadores especializados comprem ambientes já mapeados. Para o comprador, a vantagem está em receber uma porta de entrada acompanhada de informações sobre os sistemas disponíveis e o potencial financeiro da organização.
A separação entre invasão inicial e ataque final também dificulta as investigações. Uma empresa pode ser comprometida por um grupo, ter o acesso revendido diversas vezes e, posteriormente, sofrer uma ação conduzida por criminosos sem relação direta com a infecção original.
Riscos para empresas brasileiras
A busca por CNAB, certificados digitais e plataformas bancárias demonstra que organizações brasileiras podem ser alvos especialmente relevantes. Empresas de médio porte, muitas vezes com equipes reduzidas de segurança, podem oferecer acesso a dados valiosos sem contar com o mesmo nível de proteção das grandes corporações.
A exposição de certificados digitais é particularmente grave. Dependendo de como são armazenados e protegidos, eles podem permitir falsificação de documentos, acesso indevido a sistemas e uso fraudulento de serviços empresariais. Por isso, certificados não devem permanecer em computadores comuns sem controles adicionais.
A descoberta de ferramentas de backup e sistemas industriais também indica que o impacto pode ultrapassar o roubo de informações. Uma rede comprometida pode ser usada para interromper operações, alterar processos, apagar cópias de segurança ou preparar uma extorsão de grande escala.
Medidas de prevenção e resposta
As organizações devem manter inventário atualizado de computadores, servidores, aplicações e certificados digitais. Também é importante limitar o acesso de cada usuário ao mínimo necessário e separar redes administrativas, financeiras, industriais e de convidados.
A autenticação multifator precisa ser aplicada especialmente a serviços remotos, sistemas de nuvem, ferramentas administrativas e contas com privilégios elevados. Senhas reutilizadas devem ser substituídas, e credenciais antigas ou sem uso precisam ser revogadas.
Equipes de segurança devem monitorar conexões incomuns, execução de scripts Python em estações que normalmente não utilizam essa tecnologia, capturas de tela não autorizadas e comunicações persistentes por WebSocket. Alterações inesperadas em navegadores, certificados e arquivos financeiros também merecem investigação.
Em caso de suspeita, a máquina afetada deve ser isolada sem desligar indiscriminadamente todos os equipamentos, pois evidências importantes podem ser perdidas. A organização deve preservar registros, analisar contas utilizadas, revisar acessos remotos e verificar se houve movimentação lateral pela rede.
O surgimento do BraZetsu mostra como o crime digital está combinando automação, reconhecimento técnico e comercialização de acessos. Com o possível apoio de inteligência artificial, os invasores conseguem transformar grandes volumes de informações roubadas em uma lista organizada de oportunidades. Para as empresas, isso torna essencial detectar a intrusão ainda na fase de mapeamento, antes que o acesso seja vendido e utilizado em um ataque mais destrutivo.