VKSECURITY O acesso à sua empresa virou mercadoria: o malware brasileiro que rouba a porta e revende
Um malware brasileiro não quer o seu dinheiro na hora — quer a chave da sua rede para vendê-la. Ele rouba credenciais, mapeia o que a máquina tem de valioso e anuncia o acesso num mercado clandestino, onde outro criminoso compra para aplicar o ransomware.
Existe uma divisão de trabalho no crime digital que pouca gente de fora imagina. Nem todo criminoso que invade uma empresa quer aplicar o golpe final. Muitos são especialistas em só uma etapa: arrombar a porta e vender a chave. Eles se chamam Initial Access Brokers — corretores de acesso inicial — e um malware brasileiro recém-analisado mostra como essa engrenagem funciona por aqui.
O que é o BraZetsu
Pesquisadores da Group-IB detalharam um framework de malware para Windows, de origem brasileira, batizado de BraZetsu. Ele não é um ransomware, nem um golpe bancário clássico. Sua função é outra e mais fria: identificar, catalogar e monetizar máquinas corporativas invadidas.
O funcionamento tem três tempos:
- Rouba credenciais. Vasculha o histórico dos navegadores (Chrome, Edge, Brave, Opera e outros) e cruza os sites visitados contra uma lista de cerca de 230 domínios-alvo — bancos, sistemas de ERP, painéis de nuvem, ferramentas corporativas. O objetivo é achar a senha que abre algo valioso.
- Faz o inventário. Enumera os programas instalados, os processos, os certificados digitais, os arquivos recentes. Em resumo: monta a “ficha” da máquina, para saber o quanto ela vale.
- Anuncia o acesso. Coloca a máquina comprometida à venda num mercado clandestino — um “banco de infectados”. Quem compra é outro criminoso, que usa aquele acesso já pronto para aplicar o próprio golpe: ransomware, fraude, espionagem.
A parte da IA — com o pé no chão
O material analisado sugere uso intenso de IA generativa no desenvolvimento do malware (há sinais nos artefatos de código), e menciona um mecanismo que usaria IA para priorizar os arquivos mais valiosos entre o que foi roubado. Vale a ressalva honesta: parte disso é leitura forense dos pesquisadores, não confissão dos criminosos. Mas a direção é a mesma que já vimos em outros casos — a IA entrando para acelerar a triagem do que foi roubado, transformando um trabalho manual e demorado em algo automático.
Por que isso muda o cálculo de risco da sua empresa
A lição do modelo “corretor de acesso” é desconfortável, mas esclarecedora: a sua empresa não precisa ser um alvo específico para ser invadida. Basta uma máquina comprometida ter valor de revenda. O acesso vira uma mercadoria de prateleira — e o comprador pode ser qualquer um, aplicando qualquer golpe, dias ou semanas depois.
Isso desloca a defesa para dois pontos práticos:
- A credencial é o produto. O BraZetsu vive de senhas salvas no navegador. Senhas guardadas no navegador do trabalho, reaproveitadas entre sistemas, sem segundo fator, são exatamente o estoque que alimenta esse mercado. Um gerenciador de senhas de verdade e o MFA nos sistemas críticos encarecem — e muitas vezes inviabilizam — a revenda.
- O intervalo entre o roubo e o golpe é a sua janela. Como o acesso é vendido antes de ser usado, existe um tempo entre a máquina ser infectada e o estrago acontecer. É nesse intervalo que um monitoramento atento — uma cópia estranha de dados, um login de lugar incomum, um processo desconhecido — pode flagrar o problema antes de ele ser vendido para quem vai apertar o gatilho.
Saber que o acesso à sua rede pode estar, agora, num anúncio de mercado clandestino é incômodo. Mas é também o argumento mais concreto para tratar credencial como o ativo que ela virou.
Fontes
- Group-IB — pesquisa sobre o framework BraZetsu, via GBHackers (02/09/2026): gbhackers.com
- Foto de capa: código em tela — Sai Kiran Anagani, CC0, via Wikimedia Commons
- Segunda imagem: logotipo da Group-IB — DL02042024, CC BY-SA 4.0, via Wikimedia Commons
