LONDON (IT BOLTWISE) – BraZetsu ist ein Python-basiertes Windows-Malware-Framework, das kompromittierte Rechner als handelbare Zugänge für einen regionalen „Infected Marketplace“ aufbereitet. Die Akteure hinter Exilware sollen über KI-gestützte Auswertung hochwertige Opfer priorisieren und Daten wie Browserhistorien oder CNAB-Dateien gezielt extrahieren. Der Marktplatz funktioniert als Access-as-a-Service: Käufer können nach dem Kauf weitere Payloads auf fremden Systemen ausführen. Unklar bleibt bislang, wie die Einstiegsschritte genau zugestellt werden, wahrscheinlich über Social Engineering und einen Loader, der sich als Microsoft Edge tarnt.
BraZetsu zeigt, wie aus Malware längst nicht mehr nur „Infostealer“-Programme werden, sondern regelrechte Betriebssysteme für Angreifer-Workflows. Laut einem technischen Bericht von Group-IB handelt es sich um ein modular aufgebautes Python-Framework für Windows, das kompromittierte Hosts in kommerzielle Vermögenswerte verwandelt. Besonders auffällig ist die Ausrichtung auf Initial Access: Statt primär Daten abzuziehen, sammelt BraZetsu zunächst Informationen über die potenzielle „Wertigkeit“ eines Opfers und hält dafür einen kontinuierlichen Kommunikationskanal zum dahinterliegenden Marktplatz bereit. Dass einzelne Samples laut Analyse zum Zeitpunkt der Untersuchung auf VirusTotal „voll und unentdeckbar“ waren, unterstreicht den Reifegrad der Implementierung und die konsequente Nutzung von Stealth-Mechanismen.
Das Framework trägt den Namen als Mischung aus „Brazil“ und „Zetsu“, einer Figur aus der Manga-Serie „Naruto“, die als Bedrohung „aus dem Schatten“ agiert. Inhaltlich passt das Motto zur Funktionsweise: BraZetsu soll über ein stealthiges Vorgehen in Zielnetze eindringen, um dort anschließend zerstörerische Folgeschritte zu ermöglichen. Die Bedrohungsakteure werden in dem Bericht als Exilware verfolgt, mit dem Hinweis, dass sie mutmaßlich portugiesischsprachig sind. In der regionalen Zielsetzung nennt Group-IB vor allem Iberien und Lateinamerika; die Umgebung reicht dabei von E-Commerce und Unternehmen über Finanz- und Industriebereiche bis hin zu Strafverfolgungs- und weiteren Organisationen.
Technisch liegt der Kern in einem modularen Baukasten, der Hosts systematisch auskundschaftet und für den Marktplatz katalogisiert. BraZetsu führt laut Darstellung Deep Reconnaissance durch, nutzt Scans und versucht, aus den Systemen verwertbare „Beute“-Indikatoren abzuleiten. Dazu zählen insbesondere Browserhistorien aus gängigen Engines und Umgebungen wie Google Chrome, Microsoft Edge, Brave, Vivaldi und Opera. Ergänzend sammelt das Framework Zertifikate und weitere Dateien, einschließlich finanzieller Remittance-Daten im brasilianischen CNAB-Format. Für eine noch direktere Fraud-Ausrichtung enthält BraZetsu außerdem eine Routine, die im festen Layoutformat nach relevanten CNAB-Dateien sucht, etwa in der für den Datenaustausch typischen Logik zwischen Unternehmen und Banken; zusätzlich kommen aktive Aufmerksamkeits- und Interaktionssignale hinzu, etwa über den Titel des aktuell genutzten Fensters, Shell-Kommandos, Screenshots sowie das Abgreifen kürzlich geöffneter Dateien und das Durchsuchen typischer ERP-Installationspfade.
Damit sich dieser Informationsstrom in Geld übersetzen lässt, bindet der Code BraZetsu in den „Infected Marketplace“ ein, auch genannt „Banco de Infects“ beziehungsweise „infect[.]online“. Der Marktplatz soll als Access-as-a-Service funktionieren: Kunden kaufen einen Zugang zu bereits kompromittierten Systemen gegen eine Einstiegszahlung von ungefähr 5,80 US-Dollar und können dann über eine spezielle Funktionalität weitere bösartige Payloads auf den gekauften Systemen ausführen. Im Bericht wird das als persistenter Multiplikator beschrieben, weil die Betreiber nicht nur Hosts infizieren, sondern diese Zugänge für sekundäre Akteure „nachfüllen“. Zentral ist dafür die Logik, die kompromittierte Systeme als handelbare Assets einordnet, wozu BraZetsu Daten triagiert und Ziele priorisiert – offenbar unter starkem Einsatz generativer KI, nicht nur bei der Malware-Entwicklung, sondern auch bei der Backend-Auswertung und beim Targeting.
Besonders klar wird die Verzahnung mit dem Finanzumfeld, wenn Group-IB BraZetsu in Zusammenhang mit CNABHunter bringt. CNABHunter ist als eigenständiges Python-Tool beschrieben, das lokal und über Netzwerkverzeichnisse nach CNAB-Dateien sucht, Zahlungsdatensätze parst und Zahlungsmetadaten über ein HTTP-basiertes Ziel ausleitet. Zudem soll es auf Anweisungen der Operator reagieren und die Originaldateien umschreiben, indem es legitime Zahlungsinformationen durch attacker-kontrollierte Bankdetails, PIX-Schlüssel oder Barcodes ersetzt – ein Workflow, der explizit auf die Förderung von Betrug gegen Unternehmenszahlungsprozesse abzielt. Im Unterschied dazu werde BraZetsu stärker als „Initial-Access-Fundament“ positioniert, das bereits die Türen für diese nachgelagerte Fraud-Kette öffnet. Gleichwohl teilen sich beide Ansätze offenbar die gleiche inhaltliche „CNAB-Verzeichnis“-Logik; der Bericht ordnet das als bewusste Wiederverwendung an, nachdem ein „profitables“ Potenzial erkannt worden sei.
Beim Einstieg bleibt die konkrete Lieferkette hingegen unklar, der wahrscheinlichste Weg wird als Social Engineering beschrieben. Startpunkt soll ein Loader sein, der sich als Microsoft Edge tarnt und von einer Distribution-Domain geladen wird, die im Bericht als „caixaentradas1inboxshop[.]site“ genannt wird. Zu dieser Domain werden Visual Basic Script (VBS)-Dateien in Beziehung gesetzt, die die nächste Stufe nachladen. Auffällig ist laut Bericht außerdem die Verbindung derselben Infrastruktur zur Zustellung des Banking-Trojaners Ousaban: Fortinet FortiGuard Labs habe im Mai 2026 eine E-Mail-Phishing-Aktion für Nutzer in der Iberischen Halbinsel identifiziert, bei der ein MSI-Downloader Ousaban platziert. In der später beschriebenen Phishing-Kette wird der Nutzer dabei zunächst zu einer bösartigen Webseite gelotst, die je nach Standort anschließend VBS ausliefert und eine finale EXE nach dem Entpacken und über Techniken wie DLL-Sideloading oder Prozessinjektion ausführt. Der BraZetsu-Flow greift diese Muster auf, indem VBS eine Steganographie in einer PNG-Datei auswerten soll, die als PDF getarnt wird, und daraus wiederum ein ZIP und letztlich eine ausführbare Komponente gewinnt.
Aus Verteidigungssicht zeigt der Bericht, dass BraZetsu nicht nur einzelne Artefakte produziert, sondern eine komplette „Wertschöpfung“ für den Betreiber unterstützt: Es existieren laut Analyse fünf unterschiedliche Versionen, die früheste Iteration datiert auf den 9. Februar 2026. In einer späteren Generation habe sich die operative Ausrichtung stärker auf brasilianische Unternehmen verschoben, während gleichzeitig beobachtet wurde, dass Zugänge auch in den USA beworben wurden. Der Bericht ordnet zudem Übereinstimmungen mit einem früher beschriebenen Python-Backdoor-Framework an: Eine IP-Adresse, die als zuvor mit AgenteV2 verknüpft galt, wird als weiteres Indiz herangezogen; darüber hinaus kommt die Einschätzung hinzu, dass AgenteV2 und BraZetsu auf ein gemeinsames Initial-Access-Gerüst zurückgehen. Für Organisationen bedeutet das: Der Fokus von Angreifern liegt zunehmend auf der automatisierten Bewertung kompromittierter Maschinen anhand Hardware- und Softwareprofilen sowie Netzwerktopologie, damit ein Markt später schneller „preisen“ kann, wie leicht sich ein Host monetarisieren lässt.
Der breitere Kontext zeigt, dass die Latin-Amerika-Region für spezialisierte Gruppen zu einer Innovations- und Testfläche für moderne Malware-Operationalisierung wird. Der Bericht nennt neben Exilware auch Dark Caracal, das einem gezielten Zugriff auf eine Kommunikationsorganisation in Venezuela zugeschrieben wird; dabei sei ein Go-basiertes modulares Framework („GoCaracal“) in zwei Varianten eingeführt worden, ergänzt um einen Ethereum-Smart-Contract-Fallback, um Ersatz-C2-Infrastruktur abzurufen. Auch weitere Kampagnen werden erwähnt, etwa eine ältere Auslieferungslogik, bei der Invoice-farbige Lures mit SVG-Anhängen eine Nachfolge-Lösung über einen Delphi-Loader verteilt haben. Unabhängig von der jeweiligen Gruppe wird damit ein Muster sichtbar: Angriffe werden stärker modular, das Setup der Infrastruktur wird flexibler, und KI-gestützte Entscheidungslogik hilft dabei, aus „gekauften“ Zugängen ein dauerhaft skalierbares Geschäft zu machen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BraZetsu: Python-KI-Malware macht kompromittierte Rechner zum „Infected Marketplace“-Inventar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BraZetsu: Python-KI-Malware macht kompromittierte Rechner zum „Infected Marketplace“-Inventar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BraZetsu: Python-KI-Malware macht kompromittierte Rechner zum „Infected Marketplace“-Inventar« bei Google Deutschland suchen, bei Bing oder Google News!