Windows侵害端末を闇市場の販売品に変えるマルウェア「BraZetsu」が判明、生成AIで標的を選別
要点
- シンガポールのセキュリティ企業Group-IBが、侵害したWindows端末を闇市場の取引商品に仕立て上げるPython製マルウェアフレームワーク「BraZetsu」の詳細を公表した。
- 脅威アクター「Exilware」によって開発され、生成AIを活用して侵入先から取得したデータの選別や高価値ターゲットの優先順位付けを行っている。
- 感染端末への侵入経路は闇市場「Infected Marketplace」にて約5.80ドルの初期デポジットから売買され、購入者が独自の不正ペイロードを遠隔実行できる仕組みが備わっている。
- 主にイベリア半島や中南米の企業・金融機関・法執行機関などを標的とし、ブラジルの銀行決済規格「CNAB」ファイルの探索や改ざんによる不正送金機能を備える。
サイバーセキュリティ企業のGroup-IBは2026年9月3日、侵害したWindows端末へのアクセス権をサイバー犯罪市場で売買するための高度なPython製マルウェアフレームワーク「BraZetsu」に関する調査レポートを公開した。
同社のマルウェアアナリストであるジュリオ・グアポ・メネゼス（Julio Guapo Menezes）氏とミゲル・サラザール（Miguel Salazar）氏によると、BraZetsuは単なる情報窃取ツールにとどまらず、初期アクセスブローカー（IAB：標的ネットワークへの初期侵入経路を確保して他者に販売する犯罪者）向けに侵害システムを価値ある商用資産へ変換する包括的なツールキットとして機能しているという。
ステルス性と急速な進化を遂げるモジュール型フレームワーク
BraZetsuという名称は、「Brazil（ブラジル）」と日本の漫画『NARUTO -ナルト-』に登場する影から暗躍するキャラクター「ゼツ」を組み合わせた造語である。標的ネットワークへ隠密裏に侵入し、破壊的な追撃攻撃を仕掛ける特徴から名付けられたとされる。攻撃グループは「Exilware」と命名されており、ポルトガル語のネイティブスピーカーと推測されている。
Exilwareは2026年2月2日に初めて観測された後、当初の基本的なリモートアクセストロイの木馬（RAT：外部から端末を遠隔操作するマルウェア）から急速にツールセットを進化させた。2026年5月初旬にはモジュール構造を持つPythonフレームワークへと発展し、高い運用成熟度とステルス技術を獲得した結果、Group-IBの分析時点ではウイルス対策スキャンサービス「VirusTotal」上で完全に未検知（FUD）の検体も存在していた。
生成AIによる標的の優先順位付けと広範な情報収集
BraZetsuは、イベリア半島（スペイン・ポルトガルなど）およびラテンアメリカ地域における電子商取引（Eコマース）、一般企業、金融、産業、法執行機関などの環境を標的としている。
本フレームワークの大きな特徴は、マルウェア自体の開発だけでなく、バックエンドでのデータ選別（トリアージ）や標的の優先順位付けに生成AIを多用している点にある。感染端末から得られた膨大なデータの中から、AIを用いて初期アクセスブローカーにとって価値の高い標的を自動的に選別する構造を持つ。
具体的な収集・監視機能として、以下が挙げられている。
- 広範なブラウザ履歴の収集: Google Chrome、Microsoft Edge、Brave、Vivaldi、OperaなどのWebブラウザから閲覧履歴を抽出し、被害者の行動パターンを把握する。
- 認証情報および監視: デジタル証明書を収集するほか、スクリーンキャプチャ機能によってユーザーの画面操作を追跡する。
- 金融関連ファイルの探索: 被害者のネットワーク内を深く探索し、後述するブラジルの決済ファイルなどをスキャンする。
- 常時接続の維持: 外部の闇市場インフラとの通信維持にはWebSocketプロトコル（双方向通信を継続的に確立する通信規格）を採用している。
ブラジルの決済規格「CNAB」を狙う改ざん・不正送金機能
BraZetsuは、ブラジル銀行連盟が定める企業と銀行間の電子データ交換（EDI）規格「CNAB」（固定長テキスト形式の送金データファイル）を標的にした機能を備えている。
さらに本マルウェアは、関連するカスタムPythonツール「CNABHunter」と機能的な重複が確認されている。CNABHunterはローカル環境やネットワークディレクトリを走査してCNABファイルを検出し、取引メタデータを専用のHTTPインフラへ送信する。
外部サーバーから指令を受けると、CNABHunterは正規の決済ファイル内に記載された振込先情報を、攻撃者が管理する銀行口座情報、ブラジルの即時決済システム「PIX」のキー、またはバーコードへと自動的に書き換える。これにより、企業の通常の支払業務フローを悪用した不正送金詐欺を実行する設計となっている。
侵入経路を商品化する闇市場「Infected Marketplace」
BraZetsuによって侵害されたホストは、Exilwareが運営する闇市場「Infected Marketplace」（別名「Banco de Infects」「infect[.]online」）において、売買可能な「商品」としてカタログ化される。
このプラットフォームは「Access-as-a-Service（サービスとしてのアクセス）」として運用されており、約5.80ドルの初期デポジットを入金することで、他の犯罪者が侵害済み端末へのアクセス権を購入できる。購入者は自ら初期侵入の足場を構築することなく、プラットフォームに備わった機能を通じて購入した端末上で自身のツールや二次的な不正ペイロードを遠隔実行できる。
Group-IBのリサーチャーは、こうしたサービス型のプラットフォームが地域のサイバー犯罪エコシステム全体において脅威を増幅させる要因になっていると指摘している。