BraZetsu:利用人工智能评估受害者并出售系统访问权限的新型恶意软件

加密交易所新闻 投资策略与投资组合管理 行业领袖访谈

在网络威胁持续演变的今天,一种名为BraZetsu的新型恶意软件引起了安全研究人员的广泛关注。该恶意软件由Group-IB的研究人员发现,基于Python框架构建,专门用于将受感染的Windows系统转化为可供其他犯罪分子购买的商品。与传统的恶意软件不同,BraZetsu引入了生成式人工智能技术,用于自动评估被攻陷机器的商业价值,并通过名为Infected Marketplace的犯罪市场出售访问权限。这种将人工智能与网络犯罪相结合的模式,标志着网络黑产进入了新的自动化阶段。 Infected Marketplace也被称为Banco de Infects,是一个专注于出售初始访问权限的犯罪平台。对于网络犯罪分子而言,获得企业或组织的初始访问权限往往是发起进一步攻击的第一步,例如部署勒索软件、窃取敏感数据或进行金融诈骗。

在Infected Marketplace上,任何注册用户只需缴纳5.80美元的押金即可进入平台,选购已经遭到入侵的远程主机。一旦购买成功,买家可以远程在受感染的系统上运行自己的工具和恶意软件,从而将犯罪活动进一步扩大。 负责运营BraZetsu和Infected Marketplace的组织被安全研究人员追踪命名为Exilware。根据Group-IB的分析,Exilware的核心成员很可能是以葡萄牙语为母语的攻击者,其攻击活动主要针对巴西、拉丁美洲其他国家以及伊比利亚半岛地区。在目标选择上,Exilware将注意力集中在互联网电商平台、企业内部网络、金融机构、工业企业以及执法部门等高价值目标上。这种针对特定地区和行业的精准定位表明,Exilware是一个具有明确商业目的的有组织犯罪集团。

截至目前,BraZetsu的初始传播方式尚未被完全确认,但研究人员认为社交工程是最有可能的感染途径。在Group-IB分析的攻击链中,攻击者首先诱导受害者下载一个伪装成Microsoft Edge浏览器的加载程序,该程序托管在域名为caixaentradas1inboxshop.site的网站上。一旦受害者执行该加载程序,与该域名相关的VBS脚本将自动启动,进一步推进攻击进程,进入下一阶段的恶意活动。 当BraZetsu成功植入目标系统后,便会开始执行一系列详尽的侦察和数据收集操作。恶意软件首先会扫描系统中的数字证书,这些证书对于后续的网络中间人攻击或身份伪装具有重要价值。同时,BraZetsu会收集Chrome、Edge、Brave、Vivaldi以及Opera等多款主流浏览器的历史记录,从而了解受害者的上网习惯和可能访问的敏感网站。

为了更直观地掌握受害者的工作环境,恶意软件还会定期截取屏幕截图,并实时监测当前活动的窗口,以便捕获用户正在处理的敏感信息。 除了浏览器数据外,BraZetsu还会深入分析系统的环境变量、开放的端口以及正在运行的进程,从而全面掌握系统的网络配置和运行状态。恶意软件特别关注最近打开过的文件以及包含企业资源计划系统安装目录的文件夹,因为这些信息能够帮助攻击者识别受害者的业务系统和潜在的高价值数据。此外,BraZetsu还具备执行任意Shell命令的能力,使其在受感染的系统上拥有极高的操作灵活性。在整个运行过程中,恶意软件通过WebSocket协议与Infected Marketplace保持持续通信,确保数据的实时传输和控制指令的及时下达。 值得特别关注的是,BraZetsu对金融文件表现出异常的兴趣,尤其是巴西特有的CNAB格式文件。

CNAB是巴西企业和银行之间用于交换支付数据的标准文件格式,广泛应用于金融交易和银行对账流程。BraZetsu针对CNAB文件的处理能力与此前曝光的恶意工具CNABHunter高度相似。CNABHunter不仅能够搜索和解析CNAB文件,还可以根据操作者的指令篡改其中的银行账户信息、PIX支付密钥以及条形码,将受害者的合法付款重定向至攻击者控制的账户。值得注意的是,BraZetsu的攻击活动在CNABHunter被公开披露仅仅一天后便开始出现,研究人员据此推测,Exilware的开发者可能从CNABHunter的设计理念中获得了灵感,并迅速将其整合到自己的框架中。 尽管BraZetsu具备篡改金融文件的能力,但研究人员强调,该恶意软件的核心定位并非直接的金融欺诈,而是为后续攻击提供基础。其主要目的是获取初始访问权限、进行全面系统侦察,并为最终的访问权限销售做准备。

这种明确的分工体现了现代网络犯罪的产业化趋势:不同的攻击者专注于攻击链的不同环节,从而实现效率和收益的最大化。 通过对代码版本的分析,Group-IB的研究人员共发现了BraZetsu的五个不同版本,最早的版本可以追溯到2026年2月9日。在版本迭代过程中,恶意软件的功能不断演进,攻击目标也趋于集中。从第三个版本开始,BraZetsu的主要目标明显转向巴西的企业级系统。然而,研究人员也发现,就在同一时期,Infected Marketplace上还出现了两台位于美国的被入侵主机的销售信息。这一现象表明,Exilware的潜在受害者范围可能并不局限于最初的巴西地区,其攻击活动存在进一步扩张的可能性。

在对BraZetsu的代码和基础设施进行深入分析后,研究人员还发现该恶意软件与此前针对巴西用户进行钓鱼攻击的Python后门AgenteV2存在关联。两者在代码结构、通信机制以及目标选择上的相似性表明,它们很可能源自同一开发团队,是同一框架的不同变体。这一发现进一步印证了Exilware作为一个持续活跃且不断演进的网络犯罪组织的存在。 从整体趋势来看,BraZetsu代表了网络犯罪自动化发展的一个重要方向。传统上,初始访问权限的评估和定价往往需要人工介入,犯罪分子需要根据收集到的信息手动判断目标系统的价值。而BraZetsu则通过集成生成式人工智能,实现了价值评估的自动化。

恶意软件能够自动分析受害系统的配置、数据和潜在价值,并据此为每个被入侵的机器生成合理的售价,最终将其上架至Infected Marketplace供其他犯罪分子选购。这种自动化模式不仅大大提高了犯罪活动的效率,也降低了操作门槛,使得网络犯罪的产业化程度进一步加深。 对于企业和个人用户而言,BraZetsu的出现再次敲响了网络安全的警钟。由于该恶意软件主要通过社交工程进行传播,用户的安全意识成为防范攻击的第一道防线。企业和组织应当加强对员工的安全培训,提高其对钓鱼邮件、伪造软件和可疑下载链接的识别能力。同时,部署先进的安全防护解决方案,如行为监控、终端检测与响应系统以及Web应用防火墙,对于及时发现和阻止恶意活动至关重要。

在技术层面,鉴于BraZetsu对系统环境变量、开放端口和运行进程的全面扫描,传统的基于特征码的杀毒软件往往难以有效检测。安全团队应当采用基于行为的检测方法,关注异常的系统活动模式,如未知的WebSocket连接、可疑的Shell命令执行以及非常规的屏幕截图操作。此外,定期审计系统中的数字证书、监控浏览器历史记录的异常访问以及审查ERP系统相关目录的访问日志,都有助于及时发现潜在的入侵迹象。 对于金融行业,尤其是涉及CNAB文件处理的巴西企业,更需要保持高度警惕。鉴于CNABHunter和BraZetsu均表现出对金融支付数据的强烈兴趣,企业应当实施严格的多因素验证机制,确保所有金融交易的真实性。在付款流程中,财务人员应当通过独立的沟通渠道核实关键账户信息的变更,避免落入攻击者精心设计的支付重定向陷阱。

此外,部署专业的金融欺诈检测系统,对异常的支付指令进行实时拦截和审查,也是降低金融风险的有效手段。 从更宏观的视角来看,BraZetsu所揭示的AI与网络犯罪融合的趋势,凸显了网络安全领域面临的全新挑战。生成式人工智能在提高攻击效率和精准度方面展现出的巨大潜力,迫使安全行业必须加快技术创新步伐,探索利用AI技术进行威胁检测和防御的可能性。同时,国际间的执法合作与信息共享在打击此类跨境网络犯罪中的作用也愈发重要。只有全球各方共同努力,构建多层次、立体化的网络安全防御体系,才能有效遏制网络犯罪的蔓延,保护数字世界的安全与秩序。 在持续演变的网络威胁环境中,保持警惕、持续学习并不断更新防御策略,是每一个互联网参与者的必修课。

BraZetsu的出现提醒我们,网络安全的战场从未停歇,唯有不断提升自身的安全防护能力,才能在日益复杂的数字世界中立于不败之地。 。