BraZetsu è un nuovo framework malware per Windows che non si limita a rubare dati: trasforma i computer compromessi in “accessi” da rivendere ad altri criminali in un marketplace clandestino. Per un’azienda questo cambia molto, perché un singolo PC infetto può diventare la porta d’ingresso per attacchi successivi, più mirati e più dannosi, anche giorni o settimane dopo l’infezione iniziale.
Che cos’è BraZetsu e perché è diverso dai soliti malware
Il 3 settembre 2026 The Hacker News ha riportato i dettagli di una ricerca di Group-IB su BraZetsu, un framework malevolo basato su Python progettato per sistemi Windows. Secondo i ricercatori, non siamo davanti al classico infostealer che ruba password e poi scompare: BraZetsu è pensato per aumentare il valore commerciale dei dispositivi compromessi, rendendoli “inventario” per broker di accesso iniziale, i cosiddetti Initial Access Brokers.
In pratica, chi gestisce l’operazione non punta solo al furto immediato di informazioni. Punta a raccogliere abbastanza contesto sul computer e sulla rete aziendale da poter rivendere quell’accesso ad altri gruppi criminali interessati a entrare in un’organizzazione già “mappata”. È un modello vicino all’access-as-a-service: l’accesso iniziale diventa un prodotto.
Secondo Group-IB, il framework mostra un livello operativo elevato: architettura modulare, tecniche di occultamento e capacità che in alcuni campioni lo avrebbero reso non rilevato su VirusTotal al momento dell’analisi. È un segnale importante per le aziende: non tutti i malware “visibili” sono i più pericolosi, e non tutti quelli pericolosi vengono bloccati subito dagli strumenti standard.
Come funziona il marketplace criminale dietro l’infezione
BraZetsu è descritto come il fondamento di un mercato clandestino chiamato Infected Marketplace, noto anche come “Banco de Infects” o “infect[.]online”. Qui gli accessi a macchine compromesse vengono monetizzati con un deposito iniziale di circa 5,80 dollari.
Il punto più preoccupante non è il prezzo, ma il modello operativo. Una volta acquistato l’accesso, altri criminali possono usare una funzione dedicata della piattaforma per eseguire da remoto ulteriori payload dannosi sul sistema già infetto. In altre parole:
- un attaccante ottiene il primo accesso;
- il sistema viene profilato e classificato;
- quell’accesso viene messo in vendita;
- un secondo attaccante può usare il PC come trampolino per ransomware, frodi, esfiltrazione dati o movimenti laterali.
Per un’impresa questo significa che l’incidente iniziale spesso non coincide con il danno finale. Il primo malware può essere soltanto la fase preparatoria.
Cosa cerca BraZetsu sui PC Windows
La ricerca attribuisce a BraZetsu varie capacità di ricognizione profonda. Il malware può esaminare il sistema infetto, raccogliere informazioni di contesto e capire se il bersaglio ha un valore interessante dal punto di vista criminale.
Tra le funzioni descritte ci sono:
- raccolta di certificati digitali;
- estrazione della cronologia dai browser Google Chrome, Microsoft Edge, Brave, Vivaldi e Opera;
- cattura di schermate per osservare l’attività dell’utente;
- scansione della macchina e della rete per approfondire la ricognizione;
- raccolta di file finanziari, in particolare quelli legati al formato CNAB usato in Brasile per lo scambio elettronico di dati tra aziende e banche;
- comunicazione persistente tramite protocollo WebSocket con l’infrastruttura del marketplace.
La presenza della cronologia browser e delle schermate è particolarmente rilevante per le aziende, perché permette agli attaccanti di capire quali servizi cloud vengono usati, quali portali bancari o gestionali sono aperti, quali applicazioni fanno parte dei processi interni. È intelligenza operativa, non semplice furto di file.
Il ruolo dell’intelligenza artificiale nell’attacco
Un elemento che distingue BraZetsu è il possibile uso intensivo di intelligenza artificiale generativa, non solo nello sviluppo del malware ma anche nella selezione dei bersagli e nel triage dei dati raccolti.
Questo aspetto merita attenzione perché cambia la scala del problema. Se l’analisi iniziale dei sistemi compromessi viene automatizzata, i criminali possono:
- classificare più rapidamente i dispositivi più interessanti;
- capire quali host appartengono ad aziende con capacità di spesa o dati sensibili;
- dare priorità a macchine con accesso a finanza, amministrazione o infrastrutture critiche;
- accelerare il passaggio dall’infezione alla monetizzazione.
Per una PMI il rischio concreto è finire nel radar non perché grande, ma perché “facile da sfruttare” e ben collegata: una postazione amministrativa, un ufficio acquisti, un PC usato per home banking o un host con accesso remoto mal gestito possono avere un valore elevato per chi compra accessi.
Chi è nel mirino e cosa sappiamo della campagna
Secondo Group-IB, gli attori dietro BraZetsu, tracciati come Exilware, sarebbero madrelingua portoghese. I target principali osservati sono in area iberica e latinoamericana, con interesse per e-commerce, contesti aziendali, finanziari, industriali, forze dell’ordine e altri ambienti organizzativi.
Il gruppo sarebbe stato individuato per la prima volta il 2 febbraio 2026. Il framework modulare Python sarebbe stato osservato per la prima volta all’inizio di maggio 2026, in una rapida evoluzione da semplice trojan di accesso remoto a piattaforma strutturata di raccolta informazioni e valorizzazione dell’accesso.
La modalità di distribuzione non è ancora chiara. La pista più probabile indicata è il social engineering. Il punto di partenza sarebbe un loader camuffato da Microsoft Edge, scaricato da un dominio di distribuzione chiamato “caixaentradas1inboxshop[.]site”.
Anche se il focus geografico emerso finora non è l’Italia, sarebbe un errore archiviare la notizia come “problema estero”. Le tecniche usate sono generalizzabili: finto software legittimo, ricognizione, classificazione del valore del bersaglio e rivendita dell’accesso. È esattamente il tipo di filiera criminale che può essere riutilizzata in altri contesti e lingue.
Perché questo modello è più pericoloso del classico furto credenziali
Nel modello tradizionale, un malware ruba password, cookie o file e l’incidente si esaurisce lì, almeno nella sua prima fase. Con BraZetsu, invece, il PC compromesso diventa un asset persistente. Questo aumenta tre rischi:
Primo: aumenta la durata dell’esposizione. Se l’host resta accessibile, l’attacco può evolvere nel tempo.
Secondo: aumenta il numero di attori coinvolti. Non c’è un solo aggressore, ma un ecosistema di acquirenti che possono sfruttare lo stesso punto d’ingresso.
Terzo: aumenta l’imprevedibilità. Oggi l’host viene usato per ricognizione, domani per distribuire un ransomware, dopodomani per colpire fornitori, clienti o partner con e-mail credibili provenienti da un account interno compromesso.
Per questo la difesa non può basarsi solo sul blocco del file malevolo. Serve un approccio di igiene operativa, monitoraggio e contenimento.
Cosa significa per la tua azienda
Per una PMI italiana la lezione è semplice: anche una singola postazione Windows apparentemente “normale” può diventare un prodotto in vendita nel cybercrimine. E quando l’accesso viene rivenduto, il costo dell’incidente cresce rapidamente.
Le azioni pratiche da mettere in agenda sono queste.
1. Riduci la dipendenza dall’utente come unico filtro. Se la distribuzione passa dal social engineering e da file camuffati da software noto, la formazione del personale resta essenziale. Ma da sola non basta. Bisogna limitare l’esecuzione di software non autorizzato e controllare meglio ciò che può essere scaricato e avviato.
2. Proteggi in modo particolare amministrazione, finanza e direzione. BraZetsu punta a capire se un host è “redditizio”. I PC che accedono a home banking, documenti fiscali, firme digitali e portali fornitori meritano misure rafforzate, segmentazione e monitoraggio prioritario.
3. Verifica browser, certificati e sessioni salvate. Se un malware estrae cronologia, certificati e dati collegati al browser, la superficie di rischio non è solo la password. Sono a rischio anche sessioni attive, abitudini operative e indizi utili per attacchi successivi.
4. Prevedi il caso peggiore: compromissione seguita da secondo attacco. Quando si scopre un’infezione, non bisogna chiedersi solo “cosa ha rubato?”, ma anche “chi potrebbe entrare dopo?”. Isolamento dell’endpoint, reset delle credenziali, revisione degli accessi remoti e controllo dei movimenti laterali devono far parte della risposta.
5. Cura backup e ripristino come misura anti-escalation. Se l’accesso viene poi usato per distribuire ulteriori payload, inclusi ransomware, avere copie sicure e testate dei dati fa la differenza tra fermo prolungato e ripartenza controllata. Un servizio di remote backup ben configurato riduce molto l’impatto operativo.
6. Rafforza visibilità e gestione delle postazioni. Molte aziende hanno antivirus e firewall, ma poca visibilità reale sul parco macchine. Inventario software, policy aggiornate, gestione centralizzata degli endpoint e controllo degli eventi aiutano a intercettare comportamenti anomali prima che diventino compromissioni persistenti. In questo contesto hanno senso servizi strutturati di sicurezza informatica e di gestione desktop e postazioni.
7. Non trattare l’incidente come solo problema tecnico. Se un accesso rivenduto espone dati personali, documenti clienti o flussi amministrativi, possono esserci riflessi organizzativi e normativi. Serve una procedura chiara su chi avvisa chi, chi decide il contenimento e come si documenta l’accaduto.
Un segnale di mercato: i criminali industrializzano l’accesso
La notizia su BraZetsu conferma una tendenza ormai netta: il cybercrime non vive più solo di malware “monouso”, ma di filiere. C’è chi sviluppa, chi infetta, chi seleziona i bersagli, chi vende accessi, chi compra ed esegue l’attacco finale. Questa specializzazione rende gli attacchi più efficienti e più facili da scalare.
Per le aziende il messaggio è altrettanto chiaro: non conta solo evitare il furto immediato di dati. Conta impedire che una macchina interna diventi un punto d’appoggio riutilizzabile da terzi. È qui che si gioca la differenza tra un incidente contenuto e una compromissione che evolve in crisi operativa.
Domande frequenti
BraZetsu colpisce anche le aziende italiane?
Le fonti indicano un focus prevalente su bersagli iberici e latinoamericani, ma le tecniche descritte sono valide ovunque. Per questo il rischio va considerato rilevante anche in Italia.
In cosa differisce da un normale infostealer?
Non punta solo a rubare dati o password: raccoglie informazioni sul sistema compromesso e trasforma quell’accesso in un bene rivendibile ad altri criminali.
Se ho un antivirus sono protetto?
Non necessariamente. Secondo la ricerca, alcuni campioni risultavano non rilevati al momento dell’analisi. Servono difese a più livelli, gestione delle postazioni, backup e procedure di risposta all’incidente.