BraZetsu из троянца удалённого доступа стал платформой для первоначального доступа
BraZetsu, фреймворк для Windows на Python, скомпилированный с помощью Nuitka, с высокой степенью уверенности связан с бразильским актором Exilware. С февраля по май 2026 года выявили пять его версий: ранние работали как троян удалённого доступа, а поздние стали платформой-посредником для получения первоначального доступа и включали 27 функций, главным образом для перечисления хостов и программного обеспечения. BraZetsu связан с Infected Marketplace, где продают доступ к скомпрометированным системам Windows. Собранные сведения формируют досье жертвы для покупателей, которые после приобретения доступа могут развернуть собственную полезную нагрузку.
Сбор сведений о корпоративных и промышленных системах
Вредоносная программа профилирует корпоративные и промышленные среды, проверяя наличие TOTVS, SAP, Senior, Conta Azul, Sankhya, WinCC, RSLogix и FactoryTalk. Она также ищет средства защиты EDR, сертификаты .pfx и .p12, а также файлы CNAB.
По имеющимся данным, версия 2 нацеливалась на домены Mercado Libre и Mercado Pago в Аргентине, Мексике и Чили.
Получение конфигурации и связь с C2
В BraZetsu не зашит адрес управления. Функция get_server_config() извлекает сырой документ из Pastebin, декодирует его из Base64 и расшифровывает с помощью алгоритма XOR и ключа p4st3_s3cr3t_k3y. В полученной конфигурации содержатся домен, порт и токен. Операционный канал работает через WebSocket поверх TLS; в опубликованных аналитических материалах указан порт 8443.
Сообщается о следующих идентификаторах промежуточного хранилища:
- aF0WCxia
- hM0nXNBP
- 9ChwVzzw
Инфраструктура и обнаружение
Анализ инфраструктуры связал кампанию сначала с адресом 38.242.246[.]176, относящимся к VPS-хостингу Contabo и ранее ассоциированным с AgenteV2, а затем с адресом 80.78.27[.]252 на хостинге Njalla. С февраля по март 2026 года сервер-источник предоставлял сертификат Hestia Control Panel для домена painel.seu-dominio[.]com на порту 8083. Позднее на сервере размещались домен c2.installscenter[.]com на порту 2083 и домен painel.installscenter[.]com на портах 8083 и 8443. Эти сервисы использовали общий корневой домен installscenter.com и португальские соглашения об именовании.
С конца марта имя узла C2 находилось за Cloudflare, а исходный сервер продолжал предоставлять связанные сертификаты до июня. Для обнаружения можно отслеживать DNS и TLS для доменов, шаблоны сертификатов painel.* и c2.*, а также порты 2083, 8083 и 8443.
На хостах мониторинг можно направить на неподписанные исполняемые файлы, скомпилированные с помощью Nuitka, обращения к сырым данным Pastebin, копирование файлов истории Chromium в %TEMP%, поиск файлов сертификатов и создание ключа запуска MonitorSystem.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
