Pesquisadores identificaram um novo malware brasileiro para Windows chamado BraZetsu.
A ameaça procura arquivos financeiros no padrão CNAB, certificados digitais, histórico de navegação e sinais de sistemas corporativos valiosos.
Em seguida, ela oferece o acesso ao computador infectado em um mercado clandestino.
O malware não funciona como um ladrão de senhas comum.
Isso porque, ele tenta descobrir quanto vale cada máquina comprometida e reúne informações que ajudam criminosos a decidir quais acessos merecem prioridade.
Por que arquivos CNAB e certificados chamam atenção
O BraZetsu faz buscas profundas por arquivos que seguem o padrão CNAB, usado por empresas brasileiras para trocar instruções financeiras em lote com bancos.
Imagem: Geração/BITMAG
O malware também procura certificados digitais, inclusive arquivos PFX dentro do perfil do usuário e do OneDrive. Além disso, o código verifica:
- Softwares bancários;
- ERPs;
- Soluções de segurança;
- Bancos de dados;
- Ferramentas de suporte; e
- Ambientes industriais.
O código procura plataformas como SAP, TOTVS/Protheus, Warsaw, Topaz e sistemas de backup.
Esse conjunto permite ao operador identificar máquinas ligadas a finanças, administração, tecnologia, governo, saúde e outros setores que podem render acessos mais valiosos.
IA ajuda a separar máquinas e arquivos mais interessantes
Os pesquisadores encontraram sinais de uso intenso de IA no desenvolvimento do BraZetsu.
Mensagens internas do malware também fazem referência a um mecanismo de inteligência artificial no servidor de comando e controle.
Esse mecanismo recebe metadados do computador e ajuda a classificar informações coletadas.
O próprio código cita funções para definir se determinado arquivo representa um alvo prioritário para a IA.
Isso não significa que a inteligência artificial conduza toda a invasão sozinha.
O uso identificado serve principalmente para acelerar desenvolvimento, triagem de dados e seleção dos acessos que podem ter maior valor comercial.
BraZetsu não altera o CNAB automaticamente
Um ponto importante evita confusão com outro malware brasileiro conhecido como CNABHunter.
O BraZetsu procura diretórios e arquivos CNAB, porém não reescreve automaticamente pagamentos, chaves Pix ou boletos dentro desses arquivos.
Seu objetivo é principalmente, reconhecimento e acesso inicial.
Depois de comprometer a máquina, ele mantém conexão remota, coleta informações, tira capturas de tela e permite que operadores executem comandos.
Os criminosos então comercializam esses acessos em uma plataforma chamada Infected Marketplace, também conhecida como Banco de Infects.
Assim, quem compra um acesso pode tentar instalar outras cargas maliciosas na máquina.
Como empresas podem reduzir o risco
Os pesquisadores ainda não confirmaram o método exato de infecção inicial. Os indícios disponíveis apontam para engenharia social e arquivos que tentam se passar por componentes legítimos do Windows.
Para reduzir a exposição, empresas podem priorizar medidas como:
- proteger certificados digitais e limitar quem pode acessar arquivos PFX;
- monitorar executáveis e scripts desconhecidos em estações Windows;
- restringir privilégios administrativos e acesso remoto;
- acompanhar acessos a diretórios financeiros e arquivos CNAB;
- manter EDR, antivírus e sistemas corporativos atualizados.
O BraZetsu mostra uma mudança relevante no crime digital brasileiro: em vez de roubar tudo indiscriminadamente, o malware tenta montar um dossiê da máquina.
Só depois que ele usa a automação para descobrir quais vítimas podem gerar mais dinheiro.
O que você achou? Siga @bitmagazineoficial no Instagram para ver mais e deixar seu comentário clicando aqui