Malware brasileiro usa IA para mapear redes corporativas e comercializar acessos invadidos
Pesquisadores identificaram uma nova ameaça para Windows, batizada de BraZetsu, criada para reconhecer redes corporativas comprometidas, localizar ativos estratégicos e preparar os acessos para venda no mercado clandestino. A campanha concentra-se principalmente no Brasil, mas também alcança outros países da América Latina e da Península Ibérica.
A operação foi atribuída, com alto grau de confiança, ao grupo brasileiro Exilware, associado ao modelo de negócio conhecido como *Initial Access Broker* – corretor de acesso inicial. Em vez de conduzir todo o ataque, esse tipo de criminoso invade uma organização, coleta informações sobre o ambiente e vende as credenciais ou o controle das máquinas para outros grupos.
Os compradores podem utilizar os acessos obtidos para aplicar golpes financeiros, extrair dados, instalar ransomware, realizar espionagem ou manter uma presença prolongada na rede. Essa divisão de tarefas torna as campanhas mais eficientes e dificulta a identificação dos responsáveis pelo ataque final.
Malware foi criado com arquitetura modular
Desenvolvido em Python, o BraZetsu adota uma estrutura modular que permite adicionar ou alterar recursos sem reconstruir toda a ameaça. Depois da infecção, o malware estabelece comunicação com o servidor de comando e controle por meio de WebSocket, mecanismo que possibilita a troca contínua de informações entre a máquina comprometida e os operadores.
A conexão remota permite executar comandos, coletar dados e capturar imagens da tela. Com isso, os criminosos conseguem observar a atividade do usuário, identificar sistemas em funcionamento e decidir quais computadores ou servidores têm maior valor comercial.
O programa reúne 27 funções, muitas delas dedicadas ao reconhecimento automatizado do ambiente. Essa capacidade reduz o trabalho manual dos operadores e acelera a triagem das vítimas. Em vez de analisar cada dispositivo individualmente, o grupo recebe uma visão organizada dos recursos disponíveis na rede invadida.
Alvos incluem sistemas financeiros e industriais
Durante a varredura, o BraZetsu procura aplicações que possam indicar uma oportunidade de alto impacto. Entre os alvos estão softwares bancários, sistemas ERP, plataformas de comércio eletrônico, ambientes industriais, ferramentas de desenvolvimento, soluções de backup e produtos de segurança.
A ameaça também busca arquivos financeiros no formato CNAB, amplamente utilizado no Brasil para a troca de informações entre empresas e instituições bancárias. A localização desses documentos pode revelar dados de pagamentos, operações empresariais, contas e rotinas financeiras.
Outro foco são os certificados digitais, que podem permitir autenticação em sistemas corporativos e serviços públicos. O histórico dos navegadores também é coletado, pois pode conter pistas sobre portais acessados, credenciais armazenadas, painéis administrativos e serviços utilizados pela organização.
Indícios apontam para uso de inteligência artificial
A análise do código encontrou sinais de que ferramentas de inteligência artificial generativa podem ter sido utilizadas no desenvolvimento do malware. Os indícios aparecem na organização de determinados trechos, na criação de funções e em padrões de implementação que sugerem o uso de sistemas automatizados para produzir ou revisar partes do programa.
A presença de IA não significa, necessariamente, que toda a operação seja autônoma. Entretanto, ela pode reduzir o tempo necessário para escrever código, corrigir erros, criar módulos de coleta e adaptar a ameaça a diferentes ambientes.
Mensagens internas analisadas pelos pesquisadores também indicam a possível existência de um componente de inteligência artificial no servidor de comando e controle. Esse recurso poderia classificar os arquivos roubados, reconhecer informações relevantes e priorizar máquinas com maior potencial de exploração ou revenda.
Ainda não foi possível estabelecer com precisão qual é a extensão do uso de IA na campanha. A tecnologia pode estar limitada à fase de desenvolvimento, mas também pode participar da análise dos dados capturados e da seleção dos alvos mais lucrativos.
Modelo de revenda amplia o risco para as empresas
O funcionamento do Exilware segue uma lógica semelhante à de uma cadeia de fornecimento criminosa. O grupo realiza a invasão inicial, mapeia a rede e transforma o acesso em um produto. Depois, outro criminoso assume a operação e executa a fraude, o roubo de informações ou a extorsão.
Essa separação dificulta a investigação, porque o responsável pela invasão pode não ser o mesmo grupo que instala o ransomware ou desvia dinheiro. Também permite que um único acesso seja utilizado em diferentes campanhas, aumentando o retorno financeiro obtido pelos invasores.
Máquinas com acesso a sistemas financeiros, ambientes industriais, plataformas de vendas ou servidores de backup tendem a ser mais valorizadas. Mesmo um computador aparentemente comum pode se tornar importante se estiver conectado a uma rede ampla ou possuir credenciais administrativas.
Como reduzir o risco de infecção
A prevenção deve começar pelo controle de acessos. Empresas precisam adotar autenticação multifator, limitar privilégios administrativos e revisar periodicamente contas antigas, credenciais compartilhadas e usuários que já não fazem parte da organização.
Também é importante segmentar a rede para impedir que uma infecção em uma estação de trabalho alcance servidores críticos, sistemas de produção ou ambientes de backup. A separação entre áreas administrativas, operacionais e industriais reduz a possibilidade de movimentação lateral.
Soluções de segurança devem monitorar comportamentos anormais, como conexões persistentes com servidores desconhecidos, execução remota de comandos, captura de tela e consulta massiva a arquivos financeiros. A detecção baseada apenas em assinaturas pode não ser suficiente contra ameaças modulares ou modificadas rapidamente.
Atenção especial a certificados e arquivos CNAB
Certificados digitais precisam ser armazenados com proteção adequada, uso de senhas fortes e acesso restrito. Sempre que possível, a empresa deve utilizar dispositivos ou mecanismos que impeçam a exportação simples das chaves privadas.
Arquivos CNAB e outros documentos financeiros também devem ser protegidos por políticas de acesso, criptografia e monitoramento. A organização precisa saber quais usuários podem consultar, alterar ou transmitir esses dados e manter registros dessas atividades.
Backups devem permanecer isolados da rede principal e protegidos contra alterações feitas por contas comprometidas. Cópias conectadas permanentemente ao ambiente corporativo podem ser destruídas ou criptografadas durante uma segunda etapa do ataque.
O que fazer diante de uma suspeita
Ao identificar comportamento compatível com o BraZetsu, a empresa deve isolar imediatamente os dispositivos afetados, evitando desligá-los sem orientação técnica quando houver necessidade de preservar evidências. As credenciais utilizadas nessas máquinas devem ser revogadas e substituídas a partir de um ambiente confiável.
A equipe responsável precisa verificar conexões recentes, processos ativos, tarefas agendadas, arquivos criados e alterações em contas de usuário. Também é essencial investigar se o invasor alcançou outros sistemas e se houve acesso a certificados, dados financeiros ou ambientes de backup.
O incidente deve ser tratado como possível comprometimento de toda a rede, não apenas como uma infecção localizada. A combinação entre reconhecimento automatizado, comunicação remota e comercialização do acesso mostra que o BraZetsu pode representar a primeira etapa de ataques mais graves e direcionados.