O BraZetsu deixou de ser apenas uma curiosidade sobre "malware com IA" para se tornar um caso de estudo em como o cibercrime brasileiro profissionalizou a venda de acesso corporativo. Pesquisadores da Group-IB atribuem o framework, com alto grau de confiança, a um agente de ameaça batizado de Exilware, que desde fevereiro de 2026 opera o "Infected Marketplace" — também citado como "Banco de Infects" — um balcão de vendas para acessos comprometidos.

Diferente de um infostealer comum, o BraZetsu foi desenhado como um kit completo para Initial Access Brokers (IABs): ele não apenas rouba dados, mas perfila, precifica e cataloga cada máquina infectada como um ativo comercializável.

1. A porta de entrada: engenharia social, não exploração técnica

O mecanismo exato de infecção inicial ainda não foi totalmente reconstruído pelos pesquisadores, mas os indícios coletados apontam para um padrão bastante conhecido no submundo latino-americano. A Group-IB rastreou um domínio de distribuição, caixaentradas1inboxshop[.]site, associado a nomes de arquivo como msdege[0-9].exe e wifi_driver.exe — nomenclaturas pensadas para simular processos legítimos do sistema.

Para a Group-IB, esse padrão de nomes e domínio sugere fortemente o uso de engenharia social, tática recorrente entre criminosos locais na região LATAM. Relatos complementares indicam que o ponto de partida costuma ser um carregador ("loader") disfarçado de instalador do Microsoft Edge, distribuído justamente a partir desse domínio de phishing.

2. Reconhecimento silencioso e arquitetura modular

Escrito em Python e compilado para executáveis Windows, o BraZetsu adota uma escolha que dificulta a detecção por assinatura tradicional. Amostras recentes analisadas pela Group-IB apresentam arquitetura modular, ocultam a atividade do console e mantêm um canal WebSocket persistente com a infraestrutura de comando e controle.

O foco declarado do malware não é a exfiltração imediata de credenciais, mas sim o reconhecimento: ele mapeia o dispositivo infectado, os processos em execução, as portas de rede e os softwares ligados a funções de negócio. A partir desse inventário, o operador decide se vale a pena manter, revender ou descartar o acesso.

• Coleta de informações do sistema e enumeração de processos/softwares instalados
• Captura de screenshots e execução de comandos via shell do Windows
• Busca ativa por arquivos financeiros sensíveis — CNAB, .240, .400
• Localização de certificados digitais em formato .PFX e .P12
• Extração de histórico de navegação em navegadores baseados em Chromium

3. O alvo preferencial: o arquivo CNAB e a fraude bancária corporativa

A funcionalidade mais sensível descrita pela Group-IB não é o roubo de dados, mas a manipulação silenciosa deles. Segundo os pesquisadores, quando acionado, o malware reescreve automaticamente os arquivos CNAB originais, substituindo dados bancários legítimos por informações controladas pelo atacante — chaves PIX ou códigos de barras — em um fluxo desenhado especificamente para viabilizar fraude contra o processo de pagamento corporativo.

Isso conecta o BraZetsu diretamente ao ecossistema de ERPs amplamente usados no Brasil (TOTVS, SAP, Senior) e ao padrão bancário Febraban, tornando qualquer empresa que processa remessas por CNAB um alvo potencialmente lucrativo para o "Infected Marketplace".

4. Onde entra a IA generativa

O diferencial anunciado do BraZetsu está na camada de triagem automatizada. Segundo a Group-IB, as capacidades de avaliação orientadas por IA analisam automaticamente o potencial comercial das máquinas comprometidas por meio de perfilamento de hardware, análise do ambiente de software e mapeamento da infraestrutura de rede, permitindo que a Exilware categorize e precifique o acesso de forma automática, de acordo com o valor estimado da vítima.

Na prática, a IA substitui o trabalho manual de um "comprador" avaliando se vale a pena investir em determinado acesso — decidindo, em segundos, se aquela máquina infectada é um ativo de alto ou baixo valor no catálogo criminoso.

5. Infraestrutura de comando e controle

A comunicação com o operador acontece por WebSocket persistente, e parte da configuração do malware é recuperada de posts públicos no Pastebin — os chamados "dead-drop resolvers" —, decodificados com Base64 e ofuscação XOR. A Group-IB também identificou o domínio c2[.]installscenter[.]com como parte da infraestrutura associada.

Indicadores publicados por fontes abertas (Group-IB, Cryptika) apenas para fins defensivos de detecção — não navegue ou interaja com esses endereços.

6. Atribuição e linhagem: Exilware, AgenteV2 e a escala do problema

Com base em código compartilhado, tradecraft, infraestrutura e capacidades funcionais, a Group-IB avaliou com alta confiança que o AgenteV2 e o BraZetsu se referem ao mesmo framework de acesso inicial. O AgenteV2 já havia sido documentado como um backdoor em Python distribuído via phishing que se passa por intimações judiciais, capaz de transmitir a tela da vítima em tempo real para viabilizar fraude financeira.

Foram identificadas cinco gerações distintas do malware desde 9 de fevereiro de 2026, com a terceira geração marcando o estreitamento do foco para alvos corporativos no Brasil — embora acessos a dois hosts comprometidos nos Estados Unidos também tenham sido anunciados no mesmo período.

7. Recomendações defensivas

Sua empresa processa remessas CNAB ou usa ERP corporativo?

O modelo do BraZetsu mostra que o primeiro sinal de comprometimento raramente aparece nos relatórios financeiros — ele aparece antes, na camada de acesso. Um Diagnóstico OSINT Estratégico ajuda diretoria, TI e compliance a entender a exposição real da empresa a esse tipo de ameaça.