BraZetsu è un malware per Windows basato su Python che sta attirando grande attenzione nel mondo della cybersecurity per il suo ruolo nel trasformare computer compromessi in merce pronta alla vendita. Invece di limitarsi al classico furto di password e cookie tipico degli infostealer, BraZetsu funziona come un framework modulare pensato per supportare l’attività degli Initial Access Broker, cioè operatori che ottengono un primo accesso a reti e sistemi e poi lo rivendono ad altri criminali.
Il cuore del modello è un marketplace clandestino noto come Infected Marketplace, dove l’accesso a host Windows infetti viene commercializzato come servizio. Chi acquista può non solo ottenere l’accesso iniziale, ma anche usare funzionalità integrate per eseguire da remoto payload aggiuntivi sul sistema comprato, senza dover ripetere la fase di intrusione. Questo meccanismo crea un effetto moltiplicatore delle minacce, perché abilita campagne successive come ransomware, frodi finanziarie o spionaggio.
Dal punto di vista tecnico, BraZetsu esegue ricognizione approfondita sull’host e sulla rete, cataloga i sistemi e raccoglie dati utili alla valutazione economica della vittima. Tra le informazioni sottratte ci sono certificati digitali, cronologia di navigazione e dati dei browser più diffusi come Chrome, Edge, Brave, Vivaldi e Opera. Il malware è anche in grado di catturare schermate e monitorare il comportamento dell’utente, aumentando il valore dell’accesso venduto.
Un elemento distintivo è l’uso di intelligenza artificiale generativa per la selezione e la prioritizzazione dei bersagli. In pratica, i dati raccolti vengono analizzati per individuare macchine ad alto potenziale, ad esempio in ambienti aziendali e settori sensibili. In alcune varianti emergono ricerche mirate di file di rimesse e pagamenti in formato CNAB, uno standard usato in Brasile per lo scambio elettronico di transazioni tra aziende e banche, utile per frodi sui processi di pagamento corporate.
La comunicazione con l’infrastruttura criminale può avvenire in modo persistente tramite WebSocket, mentre la catena di infezione sembra legata a social engineering e a loader camuffati da software legittimo. Sono state osservate evoluzioni rapide del toolkit, con versioni che restringono il focus operativo su target corporate, in particolare in Brasile, ma con segnali di possibile espansione regionale.