Malware BraZetsu Jual Akses Komputer Windows di Pasar Gelap

Dunia kejahatan siber kini tidak hanya diwarnai aksi pencurian data atau pembobolan akun. Peneliti keamanan siber menemukan sebuah model bisnis baru yang membuat komputer korban diperlakukan layaknya barang dagangan. Salah satu aktornya adalah BraZetsu, malware berbasis Python untuk Windows yang digunakan untuk mendapatkan akses ke komputer, mengumpulkan informasi, lalu menjual akses tersebut kepada penjahat siber lainnya.

Temuan ini diungkap oleh peneliti keamanan siber Group-IB. Menurut mereka, BraZetsu merupakan kerangka malware yang dirancang untuk mendukung operasi Initial Access Broker (IAB), yaitu pelaku atau kelompok yang secara khusus bertugas mendapatkan akses awal ke sistem korban untuk kemudian menjualnya kepada pihak lain.

Model tersebut membuat serangan siber menjadi semakin terstruktur. Pelaku yang membeli akses tidak perlu lagi melakukan proses pembobolan dari awal. Mereka cukup membayar untuk mendapatkan akses ke komputer yang sudah berhasil disusupi dan kemudian menjalankan serangan lanjutan sesuai tujuan mereka.

“Berbeda dari model infostealer pada umumnya, BraZetsu merupakan toolkit utama yang lengkap dan memungkinkan Initial Access Broker mengubah sistem yang telah disusupi menjadi aset komersial bernilai tinggi,” kata analis malware Group-IB, Julio Guapo Menezes dan Miguel Salazar, dalam laporan teknisnya.

Para peneliti menilai BraZetsu memiliki tingkat kematangan operasional yang cukup tinggi. Malware tersebut menggunakan arsitektur modular sehingga kemampuannya dapat dikembangkan dan disesuaikan. Teknik penyamaran yang diterapkan juga membuat beberapa sampel BraZetsu sempat tidak terdeteksi oleh VirusTotal ketika dianalisis.

Nama BraZetsu Terinspirasi dari Brazil dan Naruto

Nama BraZetsu merupakan gabungan dari kata “Brazil” dan “Zetsu”, karakter fiksi dalam serial manga dan anime Jepang Naruto. Zetsu dikenal sebagai karakter yang bergerak dari balik bayang-bayang dan memiliki peran dalam mengawasi serta mengumpulkan informasi.

Nama tersebut dianggap sesuai dengan karakter BraZetsu yang bekerja secara tersembunyi. Malware ini dirancang untuk menyusup ke jaringan target, mengumpulkan informasi sebanyak mungkin, lalu membuka jalan bagi serangan berikutnya.

Kelompok yang berada di balik operasi ini dilacak oleh peneliti dengan nama Exilware. Berdasarkan sejumlah petunjuk yang ditemukan, pelaku diyakini merupakan penutur asli bahasa Portugis.

Group-IB menyebut operasi BraZetsu terutama menyasar target di wilayah Iberia dan Amerika Latin. Sektor yang menjadi perhatian mencakup perdagangan elektronik, perusahaan, keuangan, industri, lembaga penegak hukum, dan organisasi lain yang memiliki data bernilai tinggi.

Yang membuat BraZetsu semakin mengkhawatirkan adalah penggunaan kecerdasan buatan generatif atau AI.

AI tidak hanya diduga dimanfaatkan untuk membantu mengembangkan malware. Teknologi tersebut juga digunakan untuk mengolah informasi yang diperoleh dari komputer korban dan membantu menentukan sistem mana yang dianggap paling berharga.

Dengan kata lain, pelaku tidak sekadar mencari sebanyak mungkin komputer yang bisa diretas. Mereka juga berusaha mengetahui komputer mana yang memiliki nilai paling tinggi sebelum aksesnya ditawarkan kepada pelanggan kriminal.

Komputer Korban Dinilai Seperti Aset Bisnis

BraZetsu memiliki kemampuan melakukan pengintaian atau reconnaissance terhadap komputer yang berhasil disusupi. Malware dapat memetakan lingkungan sistem dan jaringan korban untuk memperoleh gambaran mengenai perangkat, perangkat lunak, aktivitas pengguna, hingga sumber daya penting yang tersedia.

Malware ini juga mampu mencari file keuangan tertentu, termasuk file dalam format Centro Nacional de Automação Bancária (CNAB). Format tersebut merupakan standar file teks dengan lebar tetap yang digunakan untuk pertukaran data elektronik transaksi antara perusahaan dan bank di Brasil.

Keberadaan file CNAB dapat menjadi indikator penting bahwa sebuah komputer berhubungan dengan aktivitas keuangan perusahaan. Karena itu, komputer yang menyimpan file semacam ini berpotensi memiliki nilai lebih tinggi di mata pelaku.

BraZetsu juga dapat mengumpulkan riwayat browser dari berbagai peramban populer, seperti Google Chrome, Microsoft Edge, Brave, Vivaldi, dan Opera.

Dari data tersebut, pelaku dapat memperoleh gambaran mengenai aktivitas korban dan layanan apa saja yang kemungkinan digunakan. Kemampuan lain mencakup pengumpulan sertifikat digital, file keuangan, serta tangkapan layar untuk memantau aktivitas pengguna.

Munculnya “Marketplace” untuk Komputer yang Diretas

Salah satu aspek paling menarik dari kasus BraZetsu adalah keterkaitannya dengan sebuah platform bernama Infected Marketplace, yang juga dikenal sebagai “Banco de Infects” atau “infect[.]online”.

Platform tersebut berfungsi sebagai pasar bagi akses ke komputer yang telah berhasil disusupi. Group-IB menemukan bahwa akses awal ke sebuah komputer korban dapat ditawarkan dengan harga mulai sekitar 5,80 dolar AS. 

Harga tersebut menunjukkan bagaimana akses ilegal terhadap komputer telah diperlakukan sebagai komoditas dalam ekonomi bawah tanah internet. Pelaku yang memperoleh akses tidak harus menggunakan komputer korban sendiri. Akses tersebut dapat dijual kembali kepada penjahat siber lain yang memiliki tujuan berbeda.

Model ini dikenal sebagai access-as-a-service.

Konsepnya mirip dengan layanan digital legal, tetapi digunakan untuk tujuan kriminal. Satu pihak bertugas mendapatkan akses ke komputer korban, sementara pihak lain membayar untuk menggunakan akses tersebut.

Setelah membeli akses, pelanggan dapat menjalankan muatan berbahaya miliknya sendiri melalui fitur yang disediakan platform. Dengan demikian, pelanggan tidak perlu membangun infrastruktur serangan dari awal atau mencari cara sendiri untuk menembus sistem target.

Menurut peneliti, model tersebut dapat menciptakan efek pengganda ancaman. Satu komputer yang awalnya hanya disusupi oleh satu kelompok dapat kemudian digunakan oleh beberapa pelaku kriminal dengan tujuan berbeda.

BraZetsu Terus Berkembang

Group-IB mengatakan kerangka Python modular BraZetsu pertama kali terlihat pada awal Mei 2026. Namun, versi paling awal malware tersebut diketahui telah ada sejak 9 Februari 2026. Secara keseluruhan, peneliti telah menemukan lima versi BraZetsu yang beredar di dunia nyata. Perkembangan tersebut menunjukkan bahwa malware ini masih aktif dikembangkan.

Pada generasi ketiganya, misalnya, fokus operasi terlihat semakin diarahkan kepada perusahaan di Brasil. Meski demikian, pelaku pada periode yang sama juga diketahui menawarkan akses terhadap dua komputer yang berada di Amerika Serikat.

BraZetsu memiliki sejumlah kemampuan yang membuatnya cocok digunakan sebagai perangkat pengumpul informasi sebelum akses korban dijual. Malware tersebut dapat memindai komputer yang terinfeksi, menggunakan AI untuk memilah informasi, mengumpulkan sertifikat digital, mengambil riwayat browser, mencari file keuangan, serta mengambil tangkapan layar.

BraZetsu juga menggunakan protokol WebSocket untuk mempertahankan komunikasi dengan Infected Marketplace. Kemampuan tersebut memungkinkan operator terus memperoleh informasi mengenai komputer korban dan memperbarui status akses yang tersedia.

Ada Kemiripan dengan CNABHunter

Peneliti juga menemukan kemiripan antara BraZetsu dan alat bernama CNABHunter.

CNABHunter merupakan perangkat berbasis Python yang dirancang untuk mencari file CNAB di direktori lokal maupun jaringan. Alat tersebut dapat membaca catatan transaksi keuangan dan mengirimkan metadata pembayaran ke infrastruktur yang dikendalikan penyerang.

CNABHunter juga memiliki kemampuan menerima perintah dari server jarak jauh.

Dalam kondisi tertentu, alat tersebut bahkan dapat mengubah file CNAB dengan mengganti informasi pembayaran yang sah menggunakan rekening bank, kunci PIX, atau barcode yang dikendalikan pelaku. Kemampuan ini membuat CNABHunter lebih berorientasi pada penipuan finansial. BraZetsu memiliki fokus berbeda. Malware ini lebih diarahkan untuk memperoleh akses awal dan mengumpulkan informasi mengenai korban.

Meski begitu, keduanya memiliki kesamaan dalam cara mencari file CNAB. Group-IB menduga pengembang BraZetsu mungkin mengadopsi fungsi tersebut setelah melihat peluang keuntungan dari data keuangan perusahaan. Dugaan ini semakin kuat karena BraZetsu ditemukan di dunia nyata hanya sehari setelah CNABHunter dipublikasikan oleh peneliti dengan nama akun @johnk3r di X.

Diduga Menyebar Lewat Phishing

Bagaimana BraZetsu pertama kali masuk ke komputer korban belum sepenuhnya diketahui. Namun, Group-IB menilai rekayasa sosial kemungkinan menjadi salah satu metode utama yang digunakan pelaku. Dalam skenario tersebut, korban dapat dibujuk untuk membuka file atau mengunjungi situs yang terlihat meyakinkan. Salah satu loader yang diamati bahkan menyamar sebagai Microsoft Edge.

File tersebut diunduh dari sebuah domain yang kemudian dikaitkan dengan distribusi malware. Analisis terhadap file dari domain tersebut menemukan skrip Visual Basic Script (VBS) yang bertugas mengambil tahap serangan berikutnya. Menariknya, domain yang sama sebelumnya juga digunakan untuk menyebarkan Ousaban, sebuah trojan perbankan.

Pada Mei 2026, Fortinet FortiGuard Labs mengungkap kampanye phishing yang menargetkan pengguna di Semenanjung Iberia. Dalam kampanye tersebut, pelaku menggunakan email phishing untuk mengarahkan korban ke halaman web berbahaya.

Halaman tersebut memeriksa lingkungan korban. Jika korban berada di Spanyol atau Portugal, halaman kemudian mengunduh file VBS. File tersebut digunakan untuk memulai tahap serangan selanjutnya hingga akhirnya malware dijalankan di komputer korban. Teknik yang digunakan juga memanfaatkan steganografi, yaitu menyembunyikan data di dalam file yang tampak tidak berbahaya.

Dalam kasus tersebut, file PNG dibuat menyerupai dokumen PDF. Dari file tersebut, skrip mengambil arsip ZIP yang berisi DLL malware. Muatan kemudian dijalankan menggunakan teknik seperti DLL sideloading atau process injection.

BraZetsu Bisa Mengetahui Aktivitas Korban

Setelah berhasil masuk ke komputer, BraZetsu dapat melakukan berbagai aktivitas pengintaian. Malware ini menggunakan URL Pastebin untuk mengambil informasi mengenai server command-and-control atau C2, yaitu server yang digunakan penyerang untuk mengendalikan malware.

BraZetsu juga dapat membaca judul jendela aplikasi yang sedang aktif. Jika menemukan kata-kata yang berkaitan dengan layanan perbankan, malware dapat melakukan pemeriksaan lebih lanjut terhadap sistem.

Kemampuannya mencakup memeriksa variabel lingkungan, memindai port jaringan, mengidentifikasi proses yang sedang berjalan, menjalankan perintah melalui shell, mengambil tangkapan layar, melihat file yang baru dibuka, hingga mencari direktori instalasi perangkat lunak ERP.

Kemampuan mencari ERP menjadi penting karena perangkat lunak tersebut lazim digunakan perusahaan untuk mengelola berbagai aktivitas bisnis, termasuk keuangan, inventaris, sumber daya manusia, dan operasional.

Artinya, sebuah komputer perusahaan yang terinfeksi dapat memberikan gambaran luas mengenai lingkungan internal organisasi.

Diduga Berkaitan dengan AgenteV2

Investigasi Group-IB juga menemukan keterkaitan antara BraZetsu dan AgenteV2, sebuah backdoor berbasis Python yang sebelumnya digunakan untuk menyerang pengguna di Brasil. AgenteV2 diketahui disebarkan melalui umpan phishing yang menyamar sebagai surat panggilan pengadilan.

Malware tersebut dapat menampilkan layar korban kepada penyerang secara real-time. Kemampuan itu berpotensi dimanfaatkan untuk melakukan penipuan ketika korban membuka portal perbankan. Peneliti menemukan sebuah alamat IP yang sebelumnya dikaitkan dengan AgenteV2 dan kemudian muncul dalam penyelidikan terhadap artefak yang menggunakan pola penamaan Exilware.

Berdasarkan kesamaan basis kode, teknik operasi, infrastruktur, dan kemampuan, Group-IB menilai dengan tingkat keyakinan tinggi bahwa AgenteV2 dan BraZetsu kemungkinan merupakan bagian dari kerangka malware initial access yang sama.

Jika penilaian tersebut benar, hal ini menunjukkan bahwa Exilware tidak hanya menggunakan satu alat untuk memperoleh akses, tetapi terus mengembangkan rangkaian perangkat untuk mendukung operasi mereka.

AI Membantu Menentukan Harga Korban

Salah satu perkembangan paling penting dari BraZetsu adalah bagaimana AI digunakan untuk menilai komputer yang berhasil diretas. Group-IB mengatakan kemampuan analisis berbasis AI dapat mengevaluasi potensi komersial sebuah komputer berdasarkan perangkat keras, perangkat lunak, serta infrastruktur jaringan yang tersedia. Informasi tersebut kemudian dapat digunakan untuk mengelompokkan korban dan menentukan nilai akses.

Dengan demikian, komputer korban tidak lagi dipandang sekadar sebagai perangkat yang berhasil diretas. Sistem tersebut diperlakukan sebagai aset digital yang memiliki harga. Komputer dengan akses ke sistem keuangan, data perusahaan, sertifikat digital, perangkat lunak bisnis, atau jaringan penting tentu dapat memiliki nilai lebih tinggi dibandingkan komputer pribadi biasa.

Versi terbaru BraZetsu semakin berfokus pada infrastruktur Brasil. Namun, kemampuan multibahasanya menunjukkan kemungkinan adanya rencana untuk memperluas operasi ke wilayah Amerika Latin lainnya.

Amerika Latin Menjadi Sasaran Berbagai Malware

Kasus BraZetsu juga menjadi bagian dari tren yang lebih luas. Amerika Latin dalam beberapa waktu terakhir menjadi sasaran berbagai kelompok dan jenis malware. Salah satunya adalah Dark Caracal, kelompok spionase siber yang dikaitkan dengan Lebanon. Pada Juni 2026, kelompok tersebut dikaitkan dengan serangan terhadap sebuah organisasi komunikasi di Venezuela.

Dalam serangan tersebut, pelaku menyebarkan kerangka modular berbasis Go bernama GoCaracal serta versi terbaru Bandook. GoCaracal memiliki dua varian. Varian pertama digunakan untuk memperoleh akses awal dan menjatuhkan muatan tambahan, sedangkan varian yang lebih lengkap dirancang untuk pengumpulan informasi dan kendali interaktif dalam jangka panjang.

Arctic Wolf juga menemukan bahwa varian lengkap GoCaracal memiliki mekanisme cadangan berbasis smart contract Ethereum yang memungkinkan operator memperoleh infrastruktur C2 baru tanpa perlu menyebarkan ulang malware.

Temuan ini menunjukkan bagaimana kelompok kriminal dan spionase siber terus mencari cara untuk membuat operasi mereka lebih tahan terhadap upaya pemblokiran.

Bahkan Operator Peretas Bisa Menjadi Korban

Kasus lain yang tidak kalah menarik datang dari LevelBlue. Peneliti menemukan bahwa sebuah komputer yang diduga terkait dengan operator Blind Eagle justru terinfeksi oleh infostealer. Blind Eagle merupakan kelompok peretas berbahasa Spanyol yang telah aktif setidaknya sejak 2018. Kelompok tersebut dikenal menargetkan lembaga pemerintah, institusi keuangan, dan perusahaan di Amerika Latin, khususnya Kolombia dan Ekuador.

Ironisnya, komputer yang diduga digunakan oleh pihak penyerang tersebut ternyata terinfeksi malware pencuri informasi milik pihak lain. Peneliti menemukan berbagai informasi di dalam komputer tersebut, termasuk perangkat untuk membuat RAT, template phishing, perangkat lunak pengiriman email massal, catatan infrastruktur, serta bukti upaya untuk membuat file berbahaya lebih sulit dideteksi oleh perangkat keamanan.

Temuan itu memberikan gambaran mengenai bagaimana operasi Blind Eagle dijalankan dari sisi internal.

Namun, ada ironi besar di baliknya. Komputer operator yang diduga digunakan untuk menyerang korban ternyata justru menjadi korban dari malware lain.

Ancaman yang Semakin Terindustrialisasi

Kasus BraZetsu memperlihatkan bahwa kejahatan siber semakin menyerupai industri dengan pembagian tugas yang jelas. Ada pelaku yang bertugas mendapatkan akses awal, ada yang menyediakan malware, ada yang mengelola infrastruktur, dan ada pula yang membeli akses untuk melancarkan serangan berikutnya.

Kehadiran Infected Marketplace memperkuat pola tersebut. Komputer yang berhasil disusupi dapat dikatalogkan, dinilai, lalu ditawarkan kepada pelaku lain. Penggunaan AI membuat proses tersebut semakin efisien karena informasi dari korban dapat dipilah dan dianalisis untuk menentukan sistem yang paling bernilai.

Bagi perusahaan, ancaman ini berarti keamanan tidak cukup hanya berfokus pada pencurian data. Akses ke sistem itu sendiri kini sudah menjadi komoditas. Sebuah komputer yang tampak biasa dapat menjadi pintu masuk menuju jaringan perusahaan, sistem ERP, layanan keuangan, sertifikat digital, hingga berbagai informasi sensitif. BraZetsu menunjukkan bahwa ketika akses ilegal dapat diperjualbelikan sebagai layanan, satu infeksi tidak lagi berhenti pada satu penyerang. Komputer yang sama berpotensi menjadi pintu bagi serangkaian serangan baru.

Karena itu, kemampuan mendeteksi serangan sejak tahap awal, memperkuat keamanan endpoint, mengedukasi pengguna terhadap phishing, serta membatasi akses antarsistem menjadi semakin penting.

Di tengah pemanfaatan AI oleh pelaku kejahatan siber, pertarungan keamanan digital juga memasuki babak baru: bukan hanya tentang siapa yang mampu menembus sistem, tetapi juga siapa yang lebih cepat mengenali, mengisolasi, dan menghentikan akses tersebut sebelum berubah menjadi komoditas di pasar gelap.