Brazil

บริษัท Hunt.io นำตัวบ่งชี้ของ BraZetsu ที่ Group-IB เผยแพร่เมื่อ 31 ส.ค. 2569 มาเทียบกับคลังใบรับรอง TLS ของตน พบว่าโฮสต์ C2 ย้ายไปเซิร์ฟเวอร์ใหม่ที่ Njalla ตั้งแต่ 4 เม.ย. หรือเกือบ 5 เดือนก่อนรายงาน ผู้ควบคุมใช้ Hestia Control Panel และตั้งชื่อโฮสต์ขึ้นต้น painel. หรือ c2. บนพอร์ตที่ไม่ใช่ 443 ซ้ำเดิมแม้เปลี่ยนผู้ให้บริการ แฮชมัลแวร์เปลี่ยนไป 5 เวอร์ชันใน 4 เดือน แต่รูปแบบโครงสร้างคงที่ตั้งแต่ ก.พ. ถึง มิ.ย. Hunt.io จึงแนะนำให้สร้างกฎตรวจจับจากรูปแบบแทนการไล่บล็อก IP

นักวิจัยของบริษัท Group-IB เปิดเผยเฟรมเวิร์กมัลแวร์ภาษา Python บนวินโดวส์ชื่อ BraZetsu ที่กลุ่ม Exilware ใช้ป้อนสินค้าให้ตลาดมืด Infected Marketplace ซึ่งขายสิทธิ์เข้าถึงเครื่องที่ถูกเจาะโดยเริ่มฝากเงินราว 5.80 ดอลลาร์ จุดต่างจากอินโฟสตีลเลอร์ทั่วไปคือมัลแวร์ใช้ AI ประเมินมูลค่าเชิงพาณิชย์ของเครื่องเพื่อจัดหมวดและตั้งราคาโดยอัตโนมัติ อีกทั้งยังค้นไฟล์โอนเงินรูปแบบ CNAB ของบราซิลและประวัติเบราว์เซอร์ ผู้ซื้อสามารถสั่งรันมัลแวร์ของตัวเองบนเครื่องที่ซื้อได้ทันที

บริษัท Google Threat Intelligence Group และ Mandiant เปิดเผยว่ากลุ่มอาชญากรไซเบอร์ Breeze Comet (เดิมชื่อ UNC5669) เจาะองค์กรการเงิน ค้าปลีก และอีคอมเมิร์ซในบราซิลมาตั้งแต่ปี 2567 เพื่อสั่งโอนเงินฉ้อโกงผ่านระบบ Pix, STR และ Boleto โดยเข้าถึงครั้งแรกด้วยการพ่นรหัสผ่านและโทรศัพท์แอบอ้างเป็นทีมไอทีให้เหยื่อติดตั้ง AnyDesk กลุ่มนี้ใช้แบ็กดอร์ที่พัฒนาเองอย่างน้อย 4 ตัวและมัลแวร์อุโมงค์เครือข่ายภาษา Rust ชื่อ COBALTSPIN เพื่อเข้าถึงระบบการเงินหลัก แล้วล้างล็อกเหตุการณ์ทิ้งหลังโอนเงินเสร็จ

บริษัท ANY.RUN เปิดเผยแคมเปญ PhantomEnigma ที่ยึดเว็บไซต์รัฐบาลบราซิลกว่า 20 แห่ง (.gov.br) ทำเป็นช่องทางส่งมัลแวร์ เริ่มจากอีเมลปลอมเป็นเอกสารตำรวจที่ผ่าน SPF/DKIM/DMARC แล้วเปลี่ยนเส้นทางผ่านโฮสต์รัฐที่ถูกเจาะไปยังตัวติดตั้ง มัลแวร์เป็นแบ็กดอร์ index.js แบบโมดูลฝังในแอป Electron ที่ถูกแก้ไข สั่งรัน JavaScript และดึงเพย์โหลดเพิ่มได้ เสี่ยงต่อธนาคารและหน่วยงานรัฐ

นักวิจัย Moises Cerqueira พบเซิร์ฟเวอร์ที่เปิดโล่งบนอินเทอร์เน็ตซึ่งใช้สร้างมัลแวร์ Banana RAT โทรจันขโมยข้อมูลธนาคารสายบราซิล โดยไม่ได้เป็นแค่ที่เก็บไฟล์ แต่รันสคริปต์ payload generator และ obfuscator ที่ผลิต payload หน้าตาต่างกันได้ทุกครั้ง รายงานจาก ANY.RUN ระบุว่าโครงสร้างเดียวกันผลิต Banana RAT ได้ 2 เวอร์ชันในไม่กี่สัปดาห์ เวอร์ชันใหม่สุ่มชื่อโฟลเดอร์/ไฟล์ต่อเครื่องและใช้ WebSocket เข้ารหัสเป็น C2 ทำให้การบล็อกด้วยรายชื่อ indicator ได้ผลน้อยลง

ระบบเตือนภัยฉุกเฉินของบราซิลถูกปิดชั่วคราวหลังถูกสงสัยว่าโดนแฮ็ก ส่งข้อความเตือนปลอมคำว่า misantropi4 เข้ามือถือประชาชนหลายภูมิภาคในเช้าวันเสาร์ ข้อความแพร่จากรัฐ Parana ไปถึง Sao Paulo และ Rio de Janeiro ภายในไม่กี่นาที สาเหตุมาจากพนักงานรัฐติดมัลแวร์ infostealer ตั้งแต่ปี 2016 และไม่เคยเปลี่ยนรหัสผ่านนานกว่า 10 ปี อีกทั้งระบบยังไม่มี VPN ไม่มี MFA และ CAPTCHA ที่ถามคำถามเดิมตลอด