Grundlage des Geschäftsmodells ist der “Infected Marketplace”, auch bekannt als “Banco de Infects” beziehungsweise infect[.]online. Dort verkauft der Akteur Zugänge zu kompromittierten Rechnern; der Einstieg erfordert eine Anzahlung von rund 5,80 US-Dollar. Group-IB stieß am 2. Februar 2026 erstmals auf den Betreiber, der sein Werkzeug seither rasch von einem einfachen Fernsteuerungstrojaner zu einem KI-gestützten Aufklärungsframework ausgebaut hat.
Der Marktplatz arbeitet als Access-as-a-Service-Plattform: Käufer können über eine eigene Funktion eigene Schadprogramme oder Werkzeuge auf den erworbenen Systemen aus der Ferne ausführen, ohne selbst einen Erstzugang schaffen zu müssen. Group-IB spricht von einem “Bedrohungsmultiplikator” für das regionale Ökosystem.
Das modulare Python-Framework tauchte laut Group-IB erstmals Anfang Mai 2026 auf und dient dazu, befallene Systeme als handelbare Objekte für weitere Kriminelle zu katalogisieren. BraZetsu führt tiefgehende Aufklärung durch, durchsucht Netzwerke, liest detaillierte Browserverläufe aus und sucht gezielt nach Zahlungsdateien im brasilianischen CNAB-Format – einem Standard für den elektronischen Datenaustausch von Finanztransaktionen zwischen Unternehmen und Banken.
Hier gibt es Überschneidungen zu CNABHunter, einem Python-Werkzeug, das lokale und Netzwerkverzeichnisse nach CNAB-Dateien durchsucht, Transaktionsdatensätze auswertet und Zahlungsmetadaten an eine HTTP-Infrastruktur abfließen lässt. Auf Befehl schreibt CNABHunter laut Group-IB die Originaldateien um und ersetzt legitime Zahlungsdaten durch Bankverbindungen, PIX-Schlüssel oder Barcodes der Angreifer – ein Ablauf, der auf Betrug in Firmen-Zahlungsprozessen zielt. Beide teilen dieselbe Verzeichnisliste zum Auffinden von CNAB-Dateien. Die Analysten vermuten eine Übernahme der Funktion, weil BraZetsu einen Tag nach der öffentlichen Beschreibung von CNABHunter durch den Forscher @johnk3r auf X in freier Wildbahn entdeckt wurde.
Wie die Schadsoftware zu den Opfern gelangt, ist offen; Group-IB hält Social Engineering für am wahrscheinlichsten. Am Anfang steht ein Loader, der sich als Microsoft Edge ausgibt und von der Domain “caixaentradas1inboxshop[.]site” bezogen wird. Dort fanden sich VBS-Dateien, die die nächste Stufe nachladen. Dieselbe Domain diente auch der Verbreitung des Banking-Trojaners Ousaban: Fortinet FortiGuard Labs berichtete im Juli von einer Phishing-Kampagne gegen Nutzer auf der Iberischen Halbinsel, bei der ein PDF auf eine Webseite lockt, die die Umgebung prüft und in Spanien oder Portugal eine VBS-Datei ausliefert. Diese lädt ein steganografisches PNG, das eine ZIP-Datei mit der Ousaban-DLL enthält; ausgeführt wird sie per DLL-Sideloading oder Prozessinjektion.
Wie Ousaban bezieht auch BraZetsu seine C2-Informationen über eine Pastebin-URL. Es liest Fenstertitel aktiver Anwendungen aus und prüft sie auf Banking-Schlüsselwörter, listet Umgebungsvariablen, Netzwerkports und laufende Prozesse auf, führt Shell-Befehle aus, erstellt Screenshots, ruft zuletzt geöffnete Dateien ab und sucht nach typischen ERP-Installationsverzeichnissen.
Insgesamt zählte Group-IB fünf Versionen, die früheste vom 9. Februar 2026. Die dritte Generation konzentriert sich auf Unternehmensziele in Brasilien; zeitgleich bot der Akteur jedoch Zugang zu zwei kompromittierten Rechnern in den USA an. Über die Namenskonvention von Exilware stießen die Analysten zudem auf die IP-Adresse 38.242.246[.]176, die zuvor mit AgenteV2 verknüpft war – einer Python-Backdoor, die brasilianische Nutzer über gefälschte Gerichtsvorladungen angriff und den Bildschirm des Opfers in Echtzeit überträgt. Aufgrund gemeinsamer Codebasis, Vorgehensweise und Infrastruktur geht Group-IB mit hoher Zuversicht davon aus, dass AgenteV2 und BraZetsu dasselbe Framework bezeichnen.