脅威動向 / THREATS / MALWARE
ブラジルの脅威アクター「Exilware」がPython製マルウェア「BraZetsu」で侵入アクセスを商品化 — Group-IBが報告
Group-IBは8月31日、ブラジルの脅威アクターExilwareが開発したとみられるPython製Windowsマルウェアのフレームワーク「BraZetsu」を報告した。侵害した端末を詳細に偵察して侵入アクセス仲介（IAB）向けの高価値な商品に仕立て、闇市場の「Infected Marketplace」で売買する仕組みで、コードや運用ログには生成AIを多用した痕跡があるという。
Group-IBの脅威インテリジェンスチームは2026年8月31日、Python製Windowsマルウェアのフレームワーク**「BraZetsu」を報告した。同社はブラジルの脅威アクターExilwareによるものと高い確度で帰属付け**している。名称の「Bra」は発祥国ブラジルに、「Zetsu」は影で事態を操る登場人物に由来すると同社は説明している。単発の情報窃取ではなく、侵害した端末を闇市場で売買される「商品」に仕立てる侵入アクセス仲介（IAB）の基盤という点が特徴だ。
侵入アクセスを商品化する仕組み
BraZetsuは、一般的なインフォスティーラー（情報を盗むマルウェア）の枠を超えた包括的な偵察ツールキットとして動作する。侵害した端末内で銀行システム、ERP（基幹業務システム）、電子商取引、産業用（SCADA）システムなどを走査し、高価値な資産を見つけ出して詳細な情報を収集する。その情報はExilwareが運営する闇市場**「Infected Marketplace」（Banco de Infectsとも呼ばれる）で売買**される。購入した犯罪者は遠隔から追加のマルウェアを実行できる仕組みで、1件の侵害が次の攻撃の足場として連鎖的に使われる。
Group-IBはBraZetsuの進化を2026年2月から追跡しており、基本的な遠隔アクセス機能から現在のAI強化型の情報収集基盤へ短期間で高度化したと分析している。一部の検体は分析時点でVirusTotalの検知エンジン群にまったく検出されなかった（FUD：完全検出回避）という。
狙われる標的と偵察の中身
BraZetsuの運用範囲は、イベリア半島とラテンアメリカの企業・金融・産業・法執行機関などの環境に絞られている。具体的な偵察対象として同社が挙げたのは次の通りだ。
- ブラジルの銀行送金ファイル形式CNAB（企業が銀行への大量の支払い指図をまとめて送る標準形式）の探索
- ブラウザ履歴の詳細な抽出による被害者の行動把握
- デジタル証明書（PFX形式など）の再帰的な探索と収集
- 銀行ソフトやセキュリティ製品、ERP、BIツールの有無の精密な調査
- ハードウェア構成の収集、スクリーンショット撮影、遠隔シェルによるコマンド実行
なお、2026年5月に研究者がX上で公開した金融詐欺ツール「CNABHunter」とは、ERPの送金ファイルが置かれがちなフォルダの一覧など一部の部品こそ共通するものの、C2基盤も通信方式もコード全体も別物で、目的も異なる（CNABHunterは送金ファイルの改ざんによる直接の金融詐欺、BraZetsuは偵察とアクセス売買）とGroup-IBは切り分けている。
生成AIの多用を示す痕跡
Group-IBが注目したのは、開発と運用の各段階で生成AIが多用されている痕跡だ。根拠として同社は次の点を挙げている。
- コード内の絵文字や冗長な運用ログは、大規模言語モデル（LLM）が生成したコードの特徴と一致する
- ポルトガル語のログ文は自然で慣用的な言い回しであり、偽装工作にありがちな不自然な直訳調ではない（開発者がポルトガル語母語話者である可能性を中程度の確度で裏付ける材料の1つ）
- マルウェア内の文字列に、C2基盤側のAIエンジンが盗んだデータを処理・選別することを示す記述がある（例：「サーバのAI向けにハードウェア情報を収集する」「そのファイルがAIの優先標的かを判定する」の趣旨の文言）
Python 3製でNuitka（Pythonコードを単体の実行ファイルに変換するツール）によりコンパイルされており、署名ベースの検知回避と解析妨害を狙った構成だ。感染経路の正確な手口は不明だが、配布ドメイン「caixaentradas1inboxshop[.]site」や「msdege[0-9].exe」「wifi_driver.exe」といったファイル名、督促通知を装うポルトガル語名のVBSファイルの存在から、同地域の犯罪者に典型的なソーシャルエンジニアリングが使われた可能性が高いと同社はみている。同ドメインからは銀行型トロイの木馬Ousabanの検体も配信されていた。
日本の組織への示唆
直接の標的はイベリア半島とラテンアメリカだが、IABが売買する侵入アクセスはランサムウェアなど後続攻撃の足場になる。日本企業でも中南米に拠点や取引先を持つ場合は、現地拠点の端末管理やERP周辺の監視が重要になる。Group-IBは顧客向けに同社の脅威インテリジェンスポータルで関連情報を公開している。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。