BraZetsu — เฟรมเวิร์กมัลแวร์ที่ใช้ AI คัดเกรดเครื่องเหยื่อ แล้วส่งขึ้นตลาดมืดขายสิทธิ์เข้าถึงเริ่มต้นที่ 5.80 ดอลลาร์

สรุปสั้น

นักวิเคราะห์มัลแวร์ของบริษัท Group-IB เปิดเผยรายละเอียดของเฟรมเวิร์กมัลแวร์บนวินโดวส์ที่เขียนด้วยภาษา Python ชื่อ BraZetsu ซึ่งทำหน้าที่ป้อนสินค้าให้ตลาดมืดที่ทำธุรกิจขายสิทธิ์เข้าถึงเครื่องที่ถูกเจาะแล้ว โดยนาย Julio Guapo Menezes และนาย Miguel Salazar ระบุในรายงานเชิงเทคนิคว่า “ต่างจากรูปแบบอินโฟสตีลเลอร์มาตรฐาน BraZetsu เป็นชุดเครื่องมือหลักที่ครบวงจรซึ่งเสริมกำลังให้นายหน้าขายสิทธิ์เข้าถึงเริ่มต้น ด้วยการเปลี่ยนระบบที่ถูกเจาะให้กลายเป็นสินทรัพย์เชิงพาณิชย์ที่มีมูลค่าสูง”

สิ่งที่ทำให้เฟรมเวิร์กนี้ต่างจากมัลแวร์ขโมยข้อมูลทั่วไปคือการนำปัญญาประดิษฐ์เชิงสร้างสรรค์มาใช้ประเมินเครื่องที่ถูกเจาะโดยอัตโนมัติ ทั้งการทำโปรไฟล์ฮาร์ดแวร์ วิเคราะห์สภาพแวดล้อมซอฟต์แวร์ และทำแผนที่โครงสร้างพื้นฐานเครือข่าย เพื่อให้กลุ่มผู้ก่อเหตุจัดหมวดหมู่และตั้งราคาสิทธิ์เข้าถึงตามมูลค่าของเหยื่อได้เอง กล่าวคือ AI ในที่นี้ไม่ได้ถูกใช้เพื่อสร้างมัลแวร์ที่ตรวจจับยากขึ้นเพียงอย่างเดียว แต่ถูกใช้กับงานฝั่งหลังบ้านอย่างการคัดกรองข้อมูลและจัดลำดับความสำคัญของเป้าหมายด้วย ซึ่งเป็นงานที่เดิมต้องอาศัยคนมานั่งไล่ดูทีละเครื่อง

มัลแวร์ตัวนี้ถูกใช้โดยกลุ่มที่ Group-IB ติดตามในชื่อ Exilware ซึ่งเชื่อว่าเป็นผู้ใช้ภาษาโปรตุเกสเป็นภาษาแม่ และมุ่งเป้าไปที่องค์กรบนคาบสมุทรไอบีเรียและในลาตินอเมริกา ทั้งอีคอมเมิร์ซ ภาคธุรกิจ การเงิน อุตสาหกรรม และหน่วยงานบังคับใช้กฎหมาย โดยชื่อ BraZetsu มาจากการรวมคำว่า “Brazil” กับ “Zetsu” ตัวละครในการ์ตูนญี่ปุ่นเรื่อง Naruto ที่ขึ้นชื่อเรื่องการปฏิบัติการจากในเงามืด สอดคล้องกับพฤติกรรมของเครื่องมือที่แทรกซึมเข้าเครือข่ายเป้าหมายอย่างเงียบเชียบเพื่อเปิดทางให้การโจมตีขั้นถัดไปที่รุนแรงกว่า และตัวอย่างบางชุดยังตรวจไม่พบเลยบน VirusTotal ในช่วงที่นักวิจัยวิเคราะห์

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 กันยายน 2569 ว่า Group-IB ซึ่งมีสำนักงานใหญ่อยู่ที่ประเทศสิงคโปร์ เผยแพร่รายงานเชิงเทคนิคเกี่ยวกับ BraZetsu ซึ่งเป็นรากฐานของตลาดมืดที่มีชื่อว่า Infected Marketplace หรือที่รู้จักในชื่อ “Banco de Infects” และ “infect[.]online” อันเป็นแพลตฟอร์มที่กลุ่มผู้ก่อเหตุใช้แปลงสิทธิ์เข้าถึงเครื่องที่ถูกเจาะให้เป็นเงิน โดยผู้ซื้อเริ่มต้นด้วยการฝากเงินราว 5.80 ดอลลาร์สหรัฐ

กลุ่ม Exilware ถูกตรวจพบครั้งแรกเมื่อวันที่ 2 กุมภาพันธ์ 2569 และพัฒนาเครื่องมือของตัวเองอย่างรวดเร็วจากโทรจันเข้าถึงระยะไกลธรรมดา จนกลายเป็นเฟรมเวิร์กเก็บข่าวกรองที่เสริมด้วย AI อย่างที่เป็นอยู่ในปัจจุบัน โดยนักวิจัยอธิบายว่า “การทำงานในลักษณะแพลตฟอร์มที่ให้บริการทำให้ตลาดนี้เปิดทางให้ลูกค้าที่เป็นอาชญากรรันเพย์โหลดอันตรายขั้นที่สองบนสิทธิ์เข้าถึงที่ซื้อมาได้จากระยะไกล เกิดผลคูณทวีของภัยคุกคามอย่างต่อเนื่องทั่วทั้งระบบนิเวศในภูมิภาค”

โมเดลธุรกิจที่ว่านี้คือการขายสิทธิ์เข้าถึงในรูปแบบบริการ ซึ่งอาชญากรรายอื่นสามารถซื้อจุดเข้าสู่ระบบของเหยื่อได้โดยตรง และเมื่อซื้อแล้วยังใช้ฟีเจอร์เฉพาะของแพลตฟอร์มสั่งติดตั้งเพย์โหลดของตัวเองได้ทันที นักวิจัยระบุว่า “ผู้ซื้อสามารถรันมัลแวร์หรือเครื่องมือของตัวเองบนระบบที่ถูกเจาะจากระยะไกลได้โดยไม่ต้องสร้างจุดยืนเริ่มต้นด้วยตัวเอง” ซึ่งเท่ากับลดต้นทุนและทักษะที่ผู้โจมตีปลายทางต้องมีลงอย่างมาก และทำให้เครื่องหนึ่งเครื่องอาจถูกใช้ต่อยอดโดยผู้ก่อเหตุหลายรายที่ไม่เกี่ยวข้องกัน

เฟรมเวิร์กแบบแยกส่วนตัวนี้ถูกพบครั้งแรกในช่วงต้นเดือนพฤษภาคม 2569 และเปิดทางให้ผู้ปฏิบัติการทำบัญชีรายการเครื่องที่ถูกเจาะในฐานะ “สินทรัพย์ที่ซื้อขายได้” สำหรับผู้ก่อเหตุรายที่สองบนตลาด ความสามารถหลักประกอบด้วยการสแกนเครื่องที่ติดเชื้อแล้วใช้ AI คัดกรองข้อมูลเพื่อจัดลำดับเป้าหมายมูลค่าสูงให้นายหน้า การเก็บใบรับรองดิจิทัลและประวัติเบราว์เซอร์จาก Google Chrome, Microsoft Edge, Brave, Vivaldi และ Opera พร้อมติดตามพฤติกรรมผู้ใช้ด้วยการจับภาพหน้าจอ การค้นหาไฟล์โอนเงินขององค์กรในรูปแบบ CNAB ของสมาพันธ์ธนาคารบราซิล ซึ่งเป็นมาตรฐานไฟล์ข้อความความกว้างคงที่ที่ใช้แลกเปลี่ยนข้อมูลธุรกรรมทางการเงินระหว่างบริษัทกับธนาคาร รวมถึงการใช้โปรโตคอล WebSocket รักษาการสื่อสารกับ Infected Marketplace อย่างต่อเนื่อง

จนถึงปัจจุบันมีการตรวจพบมัลแวร์นี้ในธรรมชาติแล้ว 5 เวอร์ชัน โดยรุ่นเก่าสุดย้อนไปถึงวันที่ 9 กุมภาพันธ์ 2569 และรุ่นที่สามมีจุดสังเกตคือการจำกัดขอบเขตปฏิบัติการให้แคบลงเหลือเฉพาะเป้าหมายที่เป็นองค์กรในบราซิล แม้ในช่วงเวลาใกล้เคียงกันจะพบว่ากลุ่มผู้ก่อเหตุโฆษณาขายสิทธิ์เข้าถึงเครื่องสองเครื่องที่ตั้งอยู่ในสหรัฐอเมริกาก็ตาม Group-IB ประเมินว่ารุ่นล่าสุด “แสดงการมุ่งเน้นเฉพาะโครงสร้างพื้นฐานของบราซิล ขณะที่ยังคงความสามารถรองรับหลายภาษาไว้สำหรับการขยายตัวในภูมิภาค”

วิธีการโจมตี

วิธีที่มัลแวร์ถูกส่งถึงเหยื่อยังไม่ชัดเจนในขั้นนี้ แต่นักวิจัยระบุว่าการหลอกลวงทางวิศวกรรมสังคมน่าจะเป็นต้นทาง โดยจุดเริ่มต้นคือโหลดเดอร์ที่ปลอมตัวเป็น Microsoft Edge ซึ่งถูกดาวน์โหลดจากโดเมนกระจายมัลแวร์ชื่อ “caixaentradas1inboxshop[.]site”

การวิเคราะห์ไฟล์ที่เกี่ยวข้องกับโดเมนดังกล่าวพบสคริปต์ Visual Basic Script ที่ทำหน้าที่ดาวน์โหลดขั้นถัดไปของการโจมตี และที่น่าสนใจคือโดเมนเดียวกันนี้เคยถูกใช้ส่งโทรจันธนาคาร Ousaban มาก่อน โดยเมื่อเดือนพฤษภาคม 2569 ทีม FortiGuard Labs ของบริษัท Fortinet ตรวจพบการโจมตีด้วยอีเมลฟิชชิงที่เล็งผู้ใช้บนคาบสมุทรไอบีเรียด้วยตัวดาวน์โหลดรูปแบบ MSI ที่ติดตั้ง Ousaban โดย Fortinet อธิบายในรายงานที่เผยแพร่เมื่อเดือนกรกฎาคมว่า “ไฟล์ PDF ฟิชชิงหลอกให้เหยื่อเข้าเว็บเพจอันตรายที่สแกนสภาพแวดล้อมของผู้ใช้ ถ้าผู้ใช้อยู่ในสเปนหรือโปรตุเกส เว็บเพจจะดาวน์โหลดไฟล์ VBS เพื่อเริ่มขั้นถัดไปของการโจมตี” จากนั้นไฟล์ VBS จะดึงภาพ PNG ที่ซ่อนข้อมูลด้วยเทคนิคสเตกาโนกราฟีและปลอมตัวเป็นเอกสาร PDF แล้วแตกไฟล์ ZIP ออกมาเพื่อดึงไลบรารี DLL ของ Ousaban ก่อนรันเพย์โหลดสุดท้ายผ่านการโหลด DLL แฝงหรือการ inject โค้ดเข้าโพรเซส

เช่นเดียวกับ Ousaban นั้น BraZetsu ใช้ URL ของ Pastebin เป็นที่ดึงข้อมูลเซิร์ฟเวอร์สั่งการ และมีฟังก์ชันเฉพาะสำหรับอ่านชื่อหน้าต่างของแอปพลิเคชันที่ผู้ใช้กำลังใช้งานอยู่เพื่อดูว่ามีคำที่เกี่ยวกับธนาคารหรือไม่ นอกจากนี้ยังแจกแจงตัวแปรสภาพแวดล้อม พอร์ตเครือข่าย และโพรเซสที่กำลังทำงาน รันคำสั่งเชลล์ จับภาพหน้าจอ ดึงรายการไฟล์ที่เพิ่งเปิด และค้นหาไดเรกทอรีติดตั้งของระบบวางแผนทรัพยากรองค์กรที่ใช้กันทั่วไป

อีกจุดที่ควรบันทึกไว้คือความทับซ้อนกับ CNABHunter ซึ่งเป็นเครื่องมือ Python เฉพาะทางที่ไล่สแกนไดเรกทอรีในเครื่องและบนเครือข่ายเพื่อหาไฟล์ CNAB แยกวิเคราะห์รายการธุรกรรมทางการเงิน แล้วส่งข้อมูลการชำระเงินออกไปยังโครงสร้างพื้นฐานที่ใช้ HTTP โดย Group-IB ระบุว่า “เมื่อได้รับคำสั่ง มันจะเขียนทับไฟล์ CNAB ต้นฉบับโดยอัตโนมัติด้วยการแทนที่ข้อมูลการชำระเงินที่ถูกต้องด้วยรายละเอียดบัญชีธนาคาร กุญแจ PIX หรือบาร์โค้ดที่ผู้โจมตีควบคุม” ซึ่งเป็นกระบวนการที่ออกแบบมาเพื่อฉ้อโกงกระบวนการจ่ายเงินขององค์กรโดยเฉพาะ ส่วน BraZetsu นั้นเน้นไปที่การเปิดทางเข้าถึงเริ่มต้นมากกว่าการฉ้อโกงทางการเงินโดยตรง สิ่งที่เชื่อมสองตัวนี้เข้าด้วยกันคือรายการไดเรกทอรีที่ใช้ค้นหาไฟล์ CNAB ซึ่งเหมือนกัน โดยนักวิจัยสันนิษฐานว่าผู้พัฒนา BraZetsu นำความสามารถเดียวกันมาใส่หลังเห็นว่าเป็น “โอกาสทำกำไร” ข้อสันนิษฐานนี้ตั้งอยู่บนข้อเท็จจริงที่ว่า BraZetsu ถูกพบในธรรมชาติหลังจากที่ CNABHunter ถูกเปิดเผยต่อสาธารณะโดยนักวิจัยที่ใช้ชื่อ @johnk3r บนแพลตฟอร์ม X เพียงหนึ่งวัน

การค้นหาร่องรอยเพิ่มเติมที่ตรงกับรูปแบบการตั้งชื่อของ Exilware ยังนำไปสู่หมายเลขไอพี “38.242.246[.]176” ซึ่งเคยถูกเชื่อมโยงกับ AgenteV2 อันเป็นแบ็กดอร์ภาษา Python ที่เล็งผู้ใช้ในบราซิลด้วยเหยื่อล่อที่ปลอมเป็นหมายเรียกของศาล และถูกออกแบบมาให้ถ่ายทอดหน้าจอของเหยื่อไปยังผู้โจมตีแบบเรียลไทม์เพื่อฉ้อโกงทางการเงินทันทีที่เหยื่อเปิดหน้าเว็บธนาคาร โดย Group-IB ประเมินด้วยความเชื่อมั่นสูงจากฐานโค้ดที่ใช้ร่วมกัน ชั้นเชิงการปฏิบัติการ โครงสร้างพื้นฐาน และความสามารถเชิงฟังก์ชัน ว่า AgenteV2 และ BraZetsu คือเฟรมเวิร์กมัลแวร์เข้าถึงเริ่มต้นตัวเดียวกัน

ผลกระทบ

ผลกระทบที่ตรงที่สุดอยู่ที่ฝ่ายการเงินขององค์กรในบราซิลและประเทศที่ใช้ระบบชำระเงินคล้ายกัน เพราะการที่มัลแวร์ไล่ค้นและแก้ไขไฟล์โอนเงินรูปแบบ CNAB ได้หมายความว่าการฉ้อโกงเกิดขึ้นในไฟล์ที่ระบบขององค์กรเองสร้างขึ้นและเชื่อถืออยู่แล้ว ไม่ใช่การหลอกให้พนักงานโอนเงินผิดบัญชีตามแบบที่คุ้นเคย ผลคือความผิดปกติจะปรากฏก็ต่อเมื่อธนาคารประมวลผลไฟล์ไปแล้ว ซึ่งมักช้าเกินกว่าจะเรียกเงินคืนได้

ในเชิงระบบนิเวศอาชญากรรม สิ่งที่ควรจับตาคือการที่เครื่องหนึ่งเครื่องไม่ได้จบที่ผู้ที่เจาะเข้ามาคนแรกอีกต่อไป เมื่อสิทธิ์เข้าถึงถูกวางขายพร้อมฟังก์ชันให้ผู้ซื้อรันเพย์โหลดของตัวเองได้ทันที องค์กรที่ถูกเจาะจึงอาจเจอแรนซัมแวร์ การจารกรรม หรือการฉ้อโกงทางการเงินจากผู้ก่อเหตุคนละรายในเวลาต่างกัน และการตอบสนองเหตุการณ์ที่มองแค่มัลแวร์ตัวแรกที่พบจะพลาดสิ่งที่ตามมา ราคาเริ่มต้นที่ราว 5.80 ดอลลาร์ยังสะท้อนว่าต้นทุนการเข้าถึงเครื่ององค์กรในตลาดนี้ต่ำมากเมื่อเทียบกับความเสียหายที่ตามมาได้

อีกประเด็นคือบทบาทของ AI ในเหตุการณ์นี้ไม่ใช่การสร้างเทคนิคโจมตีแบบใหม่ แต่คือการทำให้ขั้นตอนที่เดิมต้องใช้แรงคนอย่างการคัดว่าเครื่องไหนคุ้มค่าไล่ต่อ กลายเป็นงานอัตโนมัติที่ทำได้ในระดับปริมาณมาก ซึ่งเปลี่ยนสมมติฐานที่ว่าเครื่องขององค์กรขนาดเล็กหรือเครื่องที่ดูไม่สำคัญจะรอดเพราะผู้โจมตีไม่มีเวลามาดู

ข้อจำกัดของข้อมูลชุดนี้ที่ควรระบุไว้คือรายงานมาจากผู้จำหน่ายรายเดียว ยังไม่มีการเปิดเผยจำนวนเหยื่อหรือรายชื่อองค์กรที่ถูกเจาะ วิธีการส่งมัลแวร์ถึงเหยื่อยังเป็นเพียงข้อสันนิษฐานว่าน่าจะเป็นวิศวกรรมสังคม และการเชื่อมโยง BraZetsu กับ CNABHunter เป็นการประเมินจากโค้ดที่ใช้ร่วมกัน ไม่ใช่หลักฐานว่าผู้พัฒนาเป็นคนเดียวกัน

คำแนะนำ

องค์กรที่ประมวลผลไฟล์โอนเงินเป็นชุดควรตรวจสอบความถูกต้องของไฟล์ก่อนส่งเข้าธนาคารทุกครั้ง ด้วยการเทียบผลรวมยอดเงินและเลขบัญชีปลายทางกับระบบต้นทาง และเก็บค่าแฮชของไฟล์ตั้งแต่ตอนสร้างเพื่อยืนยันว่าไฟล์ไม่ถูกแก้ไขระหว่างทาง เนื่องจากมัลแวร์กลุ่มนี้โจมตีที่ตัวไฟล์โดยตรง ไม่ใช่ที่ตัวคน

ในฝั่งการเฝ้าระวัง ควรตั้งกฎตรวจจับพฤติกรรมของโพรเซสที่ไล่อ่านไดเรกทอรีจำนวนมากเพื่อค้นหาไฟล์ตามรูปแบบชื่อหรือส่วนขยายเฉพาะ การเชื่อมต่อขาออกด้วย WebSocket ที่ค้างยาวไปยังปลายทางที่ไม่คุ้นเคย รวมถึงการเรียกใช้บริการวางข้อความสาธารณะอย่าง Pastebin จากเครื่องผู้ใช้ทั่วไป ซึ่งเป็นช่องทางที่มัลแวร์นี้ใช้ดึงที่อยู่เซิร์ฟเวอร์สั่งการ

ควรบล็อกและค้นย้อนหลังในบันทึกพร็อกซีและ DNS ด้วยตัวชี้วัดที่ปรากฏในรายงาน และตรวจสอบการติดตั้งเบราว์เซอร์ที่มาจากแหล่งนอกช่องทางทางการ เพราะจุดเริ่มต้นของห่วงโซ่นี้คือโหลดเดอร์ที่ปลอมตัวเป็น Microsoft Edge ที่ผู้ใช้ดาวน์โหลดมาเอง

สุดท้าย เมื่อพบเครื่องที่ติดมัลแวร์กลุ่มนายหน้าขายสิทธิ์เข้าถึง ควรถือว่าเครื่องนั้นอาจถูกส่งต่อให้ผู้ก่อเหตุรายอื่นแล้ว การล้างเครื่องอย่างเดียวจึงไม่พอ ต้องรีเซ็ตข้อมูลยืนยันตัวตนทั้งหมดที่เคยถูกใช้บนเครื่องนั้น ตรวจสอบเซสชันที่ยังเปิดค้างอยู่ และไล่ดูว่ามีเพย์โหลดของผู้ซื้อรายอื่นถูกวางไว้เพิ่มหรือไม่

Indicators of Compromise (IoCs)

ตัวชี้วัดด้านล่างถูกทำให้ไม่สามารถคลิกได้ (defang) ตามต้นฉบับ

แหล่งอ้างอิง

• BraZetsu Malware Turns Compromised Windows Hosts Into Criminal Marketplace Inventory — The Hacker News
• BraZetsu: AI-Enhanced IAB Marketplace — Group-IB
• Analysis of Ongoing Ousaban Attacks Targeting the Iberian Peninsula — Fortinet
• Still Circling: Inside the Operator Behind Blind Eagle’s GitHub Loader — LevelBlue