BraZetsu 악성코드, 감염된 윈도우 호스트를 지하 마켓플레이스 상품으로 전환

사이버보안 연구진이 BraZetsu라는 정교한 파이썬 기반 윈도우 악성코드 프레임워크의 상세 내용을 공개했습니다. 이 프레임워크는 침해된 호스트에 대한 접근권을 상품화하는 지하 마켓플레이스를 지탱합니다.

"일반적인 인포스틸러(정보 탈취 악성코드) 모델과 달리, BraZetsu는 IAB(초기 접근 브로커, Initial Access Broker)에게 힘을 부여하는 종합 마스터 툴킷입니다."

"이 프레임워크는 모듈형 아키텍처와 스텔스 기법을 활용해 높은 운영 성숙도를 보여주며, 분석 시점에 일부 샘플은 VirusTotal에서 완전히 탐지되지 않은 상태였습니다."

BraZetsu는 "Brazil(브라질)"과 일본 만화 시리즈 나루토의 등장인물 "Zetsu(제츠)"를 합친 이름입니다. 제츠는 그늘에서 위협적으로 활동하는 캐릭터로 알려져 있습니다. 이 초기 접근 도구가 표적 네트워크에 은밀히 침투해 고도로 파괴적인 후속 공격을 수행한다는 점에서 착안한 명명입니다. Exilware로 추적되는 위협 행위자들은 포르투갈어를 모국어로 사용하는 것으로 추정됩니다.

싱가포르에 본사를 둔 Group-IB는 BraZetsu가 주로 전자상거래, 기업, 금융, 산업, 법집행 및 기타 환경의 이베리아 반도 및 라틴 아메리카 표적을 겨냥한다고 밝혔습니다. 악성코드 개발뿐만 아니라 수집 데이터 분류 및 표적 우선순위 결정에도 생성형 AI(인공지능)가 적극 활용된다는 증거가 발견되었습니다.

이 악성코드는 심층 정찰을 수행하고 피해자 네트워크를 스캔하는 기능을 갖추고 있습니다. 금융 송금 파일, 예를 들어 브라질의 CNAB 형식(기업과 은행 간 금융 거래 EDI(전자 데이터 교환)에 사용되는 고정폭 텍스트 파일 표준)도 수집 대상입니다. 또한 피해자 활동을 파악하기 위해 브라우저 방문 기록을 상세히 추출하는 기능도 갖추고 있습니다.

BraZetsu는 Infected Marketplace(일명 "Banco de Infects", "infect[.]online")의 기반을 이루는 플랫폼으로, 위협 행위자가 감염된 호스트에 대한 초기 접근권을 약 5.80달러의 초기 보증금을 받고 수익화하는 구조입니다. 위협 행위자는 2026년 2월 2일 처음 발견되었으며, 기본적인 RAT(원격 접속 트로이목마)에서 AI가 강화된 인텔리전스 수집 프레임워크로 빠르게 진화해왔습니다.

"서비스 지원 플랫폼으로 기능함으로써, 이 마켓플레이스는 범죄 고객이 구매한 접근권을 통해 원격으로 2차 악성 페이로드(악성 프로그램)를 실행할 수 있도록 하여, 지역 생태계 전반에 걸쳐 지속적인 위협 증폭 효과를 만들어냅니다."라고 연구진은 밝혔습니다.

"마켓플레이스는 접근권-서비스(access-as-a-service) 방식으로 운영되며, 다른 범죄자들이 피해자 시스템의 진입점을 구매할 수 있습니다. 범죄자가 마켓플레이스를 통해 접근권을 구매하면, 특수 플랫폼 기능을 통해 악성 페이로드를 배포할 수 있습니다. 이를 통해 구매자는 초기 거점을 직접 확보하지 않고도 침해된 시스템에 자신의 악성코드나 도구를 원격으로 실행할 수 있습니다."

Group-IB에 따르면 이 모듈형 파이썬 프레임워크는 2026년 5월 초에 처음 발견되었으며, 운영자가 침해된 시스템을 마켓플레이스의 2차 위협 행위자에게 "거래 가능한 자산"으로 카탈로그화할 수 있는 수단을 제공합니다. 지원 기능은 다음과 같습니다.

• 감염된 호스트를 스캔하고 생성형 AI를 활용해 데이터를 분류하며 IAB를 위해 고가치 표적 우선순위 결정
• 디지털 인증서, Google Chrome·Microsoft Edge·Brave·Vivaldi·Opera의 브라우저 방문 기록, 금융 파일 수집 및 스크린 캡처를 통한 사용자 행동 추적
• 브라질은행연합(Brazilian Federation of Banks)의 CNAB 형식 기업 금융 송금 파일 탐색 시도
• WebSocket 프로토콜을 활용해 Infected Marketplace와 지속적인 통신 유지

BraZetsu는 또한 CNABHunter와 일부 겹치는 부분이 있습니다. CNABHunter는 로컬 및 네트워크 디렉터리에서 CNAB 파일을 체계적으로 스캔하고, 금융 거래 기록을 파싱하며, 결제 메타데이터를 전용 HTTP 기반 인프라로 유출하는 커스텀 파이썬 도구입니다. 또한 CNABHunter는 원격 서버에서 운영자가 내리는 명령을 폴링(주기적으로 확인)합니다.

"지시를 받으면 원래 CNAB 파일의 정상적인 결제 정보를 공격자가 통제하는 은행 계좌 정보, PIX 키 또는 바코드로 자동 교체합니다."라고 Group-IB는 밝혔습니다. "이 워크플로우는 기업 결제 프로세스를 노린 금융 사기를 촉진하기 위해 특별히 설계되었습니다."

반면 BraZetsu는 금융 사기 도구보다는 초기 접근에 더 특화되어 있습니다. 광범위한 호스트 정찰 및 CNAB 관련 파일 수집 외에도 자율적 데이터 수집, 원격 셸 명령 실행을 통한 대화식 수동 작업, 추가 워커 모듈 배포 등을 지원합니다.

두 도구를 연결하는 핵심 요소는 CNAB 관련 파일을 탐색하는 데 사용되는 디렉터리 목록입니다. BraZetsu 개발자들이 "수익성 있는 기회"를 발견한 후 동일한 기능을 도입한 것으로 추정됩니다. 이는 BraZetsu가 CNABHunter를 X(구 트위터)에서 @johnk3r이라는 연구자가 공개한 다음 날 실제 환경에서 발견되었다는 사실에 근거합니다.

이 악성코드가 피해자에게 어떻게 전달되는지는 아직 명확하지 않습니다. 그러나 소셜 엔지니어링이 가장 유력한 경로로 지목됩니다. 시작점은 Microsoft Edge로 위장한 로더로, "caixaentradas1inboxshop[.]site"라는 배포 도메인에서 다운로드됩니다.

해당 도메인과 연관된 파일 분석을 통해 다음 단계 공격을 다운로드하는 VBS(Visual Basic Script) 파일이 발견되었습니다. 흥미롭게도 같은 도메인이 Ousaban 뱅킹 트로이목마 배포에도 사용되었습니다. 2026년 5월, Fortinet FortiGuard Labs는 이베리아 반도 사용자를 표적으로 Ousaban을 배포하는 MSI 다운로더를 사용한 이메일 피싱 공격을 식별했다고 밝혔습니다.

"피싱 PDF는 피해자를 악성 웹페이지로 유도하여 사용자의 환경을 스캔합니다."라고 Fortinet은 7월에 발행한 보고서에서 밝혔습니다. "사용자가 스페인 또는 포르투갈에 있는 경우, 웹페이지는 공격의 다음 단계를 시작하는 VBS 파일을 다운로드합니다. 최종 페이로드는 피해자 컴퓨터에 드롭(투하)된 EXE 파일이며, VBS 스크립트에 의해 실행됩니다."

VBS 파일은 PDF 문서처럼 보이는 스테가노그래피(steganography, 데이터를 이미지 안에 숨기는 기술) PNG 이미지를 내려받도록 설계되어 있습니다. 이 이미지에서 ZIP 파일을 추출하고, ZIP 파일에서 Ousaban DLL을 꺼냅니다. 최종 페이로드는 DLL 사이드로딩(DLL sideloading) 또는 프로세스 인젝션(process injection)을 통해 실행됩니다.

Ousaban과 마찬가지로 BraZetsu도 Pastebin URL을 이용해 C2(명령·제어 서버) 정보를 추출합니다. 또한 현재 활성화된 애플리케이션 창 제목을 가져와 일반적인 뱅킹 키워드 포함 여부를 확인하고, 환경 변수·네트워크 포트·실행 중인 프로세스를 열거하고, 셸 명령을 실행하고, 스크린 캡처를 하고, 최근 열린 파일을 가져오고, 일반적인 ERP(전사적 자원관리 시스템) 설치 디렉터리를 탐색하는 전용 기능도 갖추고 있습니다.

지금까지 실제 환경에서 총 5개의 서로 다른 악성코드 버전이 탐지되었으며, 가장 초기 버전은 2026년 2월 9일로 거슬러 올라갑니다. 3세대 버전은 운영 초점을 브라질의 기업 표적으로 좁힌 것이 특징입니다. 다만, 위협 행위자는 같은 시기에 미국에 위치한 두 개의 침해 호스트에 대한 접근권도 광고한 것으로 관찰되었습니다.

"BraZetsu는 초기 거점을 확립하고 Infect Marketplace의 재고를 지속적으로 보충함으로써 Exilware의 IAB 운영을 지원하는 주요 악성코드 프레임워크로 기능합니다."라고 Group-IB는 밝혔습니다.

Exilware가 사용하는 명명 규칙과 일치하는 아티팩트를 더 깊이 추적한 결과, IP 주소("38.242.246[.]176")가 발견되었습니다. 이 IP는 이전에 AgenteV2와 연관된 바 있으며, AgenteV2는 사법 소환장을 사칭한 피싱 미끼를 통해 브라질 사용자를 표적으로 삼는 파이썬 기반 백도어입니다. 이 악성코드는 뱅킹 포털이 열리는 즉시 금융 사기를 촉진하기 위해 피해자의 화면을 공격자에게 실시간으로 스트리밍하도록 설계되어 있습니다.

공유된 코드베이스, 공격 기법, 인프라, 기능적 능력을 바탕으로 Group-IB는 AgenteV2와 BraZetsu가 동일한 초기 접근 악성코드 프레임워크를 가리킨다고 높은 신뢰도로 평가했습니다.

"이 악성코드의 AI 기반 평가 기능은 하드웨어 프로파일링, 소프트웨어 환경 분석, 네트워크 인프라 매핑을 통해 침해된 시스템의 상업적 잠재력을 자동으로 평가하여, Exilware가 피해자 가치에 따라 마켓플레이스 접근권을 자동으로 분류하고 가격을 책정할 수 있도록 합니다."라고 회사는 밝혔습니다.

"최근 버전은 다국어 지원 역량을 유지하면서 브라질 인프라에 독점적으로 집중하고 있으며, 이는 국내 위협 환경에 대한 깊은 운영 지식과 핵심 인프라 및 고가치 상업 부문을 표적으로 하는 보다 광범위한 라틴 아메리카 작전으로의 전략적 포지셔닝을 보여줍니다."

BraZetsu는 라틴 아메리카를 표적으로 삼은 유일한 악성코드가 아닙니다. 최근 몇 주 사이에 레바논 총보안국(General Directorate of General Security)과 연관된 사이버 스파이 그룹 Dark Caracal이 베네수엘라의 한 통신 조직을 표적으로 한 공격에 연루된 것으로 밝혀졌습니다.

2026년 6월에 발생한 이 사건에서는 GoCaracal이라는 코드명의 문서화되지 않은 Go 기반 모듈형 프레임워크와 Bandook의 업데이트된 버전이 배포되었습니다. GoCaracal은 두 가지 변형으로 나타납니다. 하나는 초기 접근을 확립하고 추가 페이로드를 드롭하는 경량 임플란트이고, 다른 하나는 지속적인 인텔리전스 수집 및 대화식 제어를 위한 확장 빌드입니다.

"확장 빌드는 또한 이더리움(Ethereum) 스마트 컨트랙트 폴백(fallback) 기능을 지원하여, 운영자가 악성코드를 재배포하지 않고도 교체할 C2(명령·제어) 인프라를 가져올 수 있습니다."라고 ArcticWolf는 밝혔습니다. "이번 발견은 Dark Caracal이 기존 운영 및 공격 기법의 기반이 되는 악성코드와 인프라를 현대화하고 있음을 보여줍니다."

배포 방식은 카스퍼스키(Kaspersky)가 이전에 문서화한 캠페인과 일치합니다. 해당 캠페인에서 위협 행위자는 SVG 첨부 파일이 포함된 인보이스 테마의 미끼를 사용해 Poco RAT의 후속 버전인 AsioGate라는 백도어를 Delphi 로더를 통해 배포하며 칠레와 브라질의 사용자 및 기관을 공격했습니다.

한편, LevelBlue는 Blind Eagle과 연계된 운영자의 컴퓨터 자체가 정보 탈취 악성코드에 감염되어 캠페인의 전모를 파악할 수 있는 중요한 단서를 얻었다고 발표했습니다. Blind Eagle은 적어도 2018년부터 활동해온 스페인어권 해킹 그룹으로, 주로 라틴 아메리카(특히 콜롬비아와 에콰도르)의 정부 기관, 금융 기관, 기업을 표적으로 합니다.

"해당 컴퓨터에서 발견한 내용은 작전의 훨씬 광범위한 그림을 제공했습니다. RAT(원격 접속 트로이목마) 제작 도구, 피싱 템플릿, 대량 이메일 소프트웨어, 인프라 기록, 그리고 보안 소프트웨어의 탐지를 어렵게 만들려는 반복적인 시도의 흔적이 있었습니다."라고 보안 연구원 Serhii Melnyk는 말했습니다.

"해당 컴퓨터는 관련 없는 상용 인포스틸러에 의해 침해된 것으로 보입니다. 이는 Blind Eagle이 피해자로부터 정보를 훔치는 데 사용하는 악성코드와 같은 종류입니다. 다시 말해, 공격자 측 워크스테이션 자체가 다른 누군가의 악성코드에 의해 노출되면서 추적의 실마리가 시작되었습니다."