שלושים ריאל ברזילאי, בערך 5.8 דולר. זה המחיר של כוס קפה, וזה גם סכום ההפקדה המינימלי שפותח חשבון בזירת מסחר שבה נמכרת גישה למחשבים תאגידיים שכבר נפרצו. חוקרי Group-IB, חוליו גואפו מנזס ומיגל סלזאר, פרסמו ב-31 באוגוסט ניתוח של המכונה שמייצרת את המלאי לזירה הזאת: מסגרת נוזקה כתובה Python בשם BraZetsu, שהם מייחסים ברמת ודאות גבוהה לתוקף ברזילאי שמכנה את עצמו Exilware.

ההבדל בין BraZetsu לנוזקת גניבת מידע רגילה הוא לא בטכניקה אלא בשאלה שהיא באה לענות עליה. נוזקה שגונבת סיסמאות מסיימת את העבודה ברגע ששלחה אותן הביתה. BraZetsu, לפי הדוח, כמעט לא נוגעת בסיסמאות. היא עסוקה בשאלה אחרת: כמה שווה המחשב הזה. בהמשך נראה מה בדיוק היא סופרת כדי לענות, איך מגיעות אליה הפקודות, ולמה דוח אחר לגמרי, מאפריל, משלים בדיוק את החלק שחוקרי Group-IB אמרו שלא הצליחו לפענח.

מי בכלל קונה גישה למחשב של מישהו אחר

יש בפשיעת הסייבר חלוקת עבודה שלא תמיד מובנת מבחוץ. גורם אחד פורץ למחשב ולא עושה בו כלום, אלא מוכר את דריסת הרגל למישהו אחר שכן יודע מה לעשות איתה, בדרך כלל קבוצת כופרה או חבורת הונאה פיננסית. הפורץ לא צריך לדעת להצפין רשת ארגונית, והקונה לא צריך לדעת לפרוץ. למתווכים קוראים Initial Access Brokers, ובקיצור IAB.

Exilware מפעיל זירה כזאת מאז פברואר 2026, בשם Banco de Infects, בדומיין infect[.]online (קודם לכן infectonline[.]store), עם תשלום בקריפטו דרך שירות סליקה בשם NowPayments. מה שמעניין שם הוא דווקא הכללים. לפי Group-IB, Exilware הגביל את הגישה לזירה בכוונה, והטיל על בעלי החשבונות חובה להוציא את הכסף שהפקידו תוך 24 שעות בימים עם נפח הדבקות גבוה, ותוך 49 שעות בימים רגילים. "בניגוד לפושעי סייבר רבים בעלי מוטיבציה כלכלית שמסתמכים על חשיפה רחבה בזירות כדי להרחיב את בסיס הלקוחות, Exilware הגביל את הגישה בכוונה", כתבו החוקרים. ההערכה שלהם, ברמת ודאות בינונית בלבד, היא שמאחורי היקף ההדבקות היומי עומדת רשת מצומצמת של שותפי הפצה ולא שוק פתוח.

הלוגים שהסגירו את הכתיבה

החלק שתפס את תשומת הלב בדוח הוא לא רכיב טכני אלא סגנון. הקוד מלא בהודעות לוג מפורטות בפורטוגזית, משובצות באמוג'י, ולפי החוקרים זו חתימה מוכרת של קוד שנכתב בעזרת מודל שפה. משם הם ממשיכים לממצא הקונקרטי יותר: חלק מהודעות הלוג מפנות במפורש למנוע בינה מלאכותית שרץ בצד השרת. אחת מהן מסבירה שהפונקציה "אוספת מטא-נתונים על החומרה ועל גודל המכונה עבור ה-AI של השרת", ואחרת קובעת אם "הקובץ הוא יעד בעדיפות גבוהה עבור ה-AI".

כאן שווה לעצור על מה שהדוח לא אומר. Group-IB כותבת במפורש שהיקף השימוש ב-AI לאורך מחזור החיים של המתקפה נותר לא ידוע, ואינה מזהה איזה מודל, ספק או ממשק משמש, לא לפיתוח ולא בצד השרת. מה שיש בידיים הוא מחרוזות לוג בתוך הקוד. הן מספיקות כדי לומר שהמפעיל בנה לעצמו שלב מיון אוטומטי אחרי האיסוף, והן לא מספיקות כדי לומר עד כמה הוא באמת עובד.

מה הנוזקה סופרת

הדוח מונה 27 פונקציות נפרדות במסגרת, ורובן עוסקות בסקירה ובמיפוי של המכונה. הרשימה מסבירה היטב את המודל העסקי. get_browser_intel סורקת פרופילים בדפדפני Chromium, ובהם Chrome, Edge, Brave, Vivaldi ו-Opera, אבל הפונקציה שנלווית אליה מחלצת דווקא היסטוריית גלישה, בשאילתת SQLite פשוטה על טבלת ה-urls, ולא סיסמאות או עוגיות. ההיגיון ברור: היסטוריה מספרת לקונה במה הארגון משתמש. auditoria_infra_financeira מחפשת יישומי בנקאות מקוונת מותקנים, check_advanced_erps מונה ספריות התקנה של מערכות ERP, ו-obter_identidade_v8 שולפת מספרי זיהוי משפטיים בעזרת ביטויים רגולריים לפורמטים הברזילאיים CPF ו-CNPJ, כלומר מספר תעודת זהות ומספר חברה.

שני סוגי קבצים מקבלים יחס מיוחד. הראשון הוא תעודות דיגיטליות בסיומות PFX. ו-P12., שהנוזקה מלקטת מהדיסק וגם משיתופי OneDrive. בברזיל תעודה כזאת היא לא נוסח טכני שולי, היא בפועל החתימה שמאשרת פעולות מול רשויות ומול בנקים. השני הוא קבצים בפורמט שרוב הקוראים כאן לא נתקלו בו: כשחברה משלמת למאה ספקים באותו יום, היא לא מקלידה מאה העברות בממשק הבנק. היא מייצאת מה-ERP קובץ טקסט אחד עם כל שורות התשלום ומעלה אותו לבנק. בברזיל הפורמט המתוקנן לקובץ הזה נקרא CNAB, והנוזקה מחפשת אותו לפי הסיומות cnab., 240. ו-400..

חשוב לדייק בנקודה הזאת, כי היא נוטה להישמע דרמטית יותר ממה שהדוח מתאר. BraZetsu מאתרת ומדווחת על קבצי CNAB, אבל לפי Group-IB היא אינה מפרסרת אותם, אינה משנה אותם ואינה מזריקה לתוכם הוראות תשלום מזויפות. את זה עושה כלי נפרד, CNABHunter, שהחוקרים מתארים כתוכנה ייעודית להונאה: היא סורקת ספריות מקומיות ורשתיות, מפרסרת את רשומות התשלום, ובפקודת המפעיל משכתבת את הקובץ ומחליפה את פרטי התשלום בחשבונות, במפתחות PIX או בברקודים בשליטת התוקף. ההערכה של Group-IB היא ש-Exilware ראה בכלי הזה הזדמנות, ואימץ לתוך BraZetsu את נתיבי ה-ERP המדויקים שהוא מכוון אליהם.

מעבר לסקירה יש גם ידיים. run_shell_commands מריצה פקודות דרך cmd.exe, כלומר הרצת קוד אינטראקטיבית בידי מפעיל אנושי, ו-capture_screen מצלמת את המסך ומקודדת אותו ל-base64. זה מה שהופך את הגישה הנמכרת לשימושית: הקונה לא מקבל קובץ נתונים, הוא מקבל מכונה.

דף Pastebin, ומפתח שנשאר בתוך הקוד

עד כאן מה שהנוזקה אוספת. הדרך שבה היא מקבלת הוראות מעניינת לא פחות, בעיקר בגלל מה שהיא אומרת על ההגנה. הפונקציה get_server_config לא פונה לשרת השליטה ישירות. היא מושכת דף גולמי ב-Pastebin, מפענחת ממנו מחרוזת base64 ומפעילה עליה XOR עם מפתח שנשאר קבוע בתוך הקוד, ואז מפצלת את התוצאה בתו | לשלושה שדות: כתובת השרת, הפורט וה-token. רק אחרי זה נפתח החיבור עצמו, WebSocket מתמשך מעל TLS בפורט 8443, שדרכו זורמים הפקודות, צילומי המסך ופלט ה-shell.

התבנית הזאת נקראת dead drop resolver, ובעברית פשוטה: הכתובת האמיתית של שרת השליטה ובקרה (C2, השרת שממנו התוקף שולח פקודות לנוזקה) לא נמצאת בנוזקה בכלל, אלא בדף ציבורי שהתוקף יכול לערוך. חוקר ANY.RUN מואיזס סרקיירה, שניתח את אותה משפחה באפריל, ניסח את המסקנה ההגנתית במפורש: חסימת כתובת ה-IP הידועה לא מספיקה, כי התוקף מחליף שרת בעריכה של עמוד אחד, בלי לקמפל מחדש ובלי להפיץ שוב שום דבר. רשימת חסימה מבוססת IP מתיישנת תוך שעות.

אז איך המכונה נדבקת מלכתחילה?

זאת בדיוק השאלה ש-Group-IB משאירה פתוחה. הדוח קובע שווקטור ההדבקה הראשוני נותר לא ידוע, ונשען על שמות הקבצים שנצפו בדומיין ההפצה, ובהם wifi_driver.exe, כדי להעריך שמדובר בהנדסה חברתית.

כאן נכנס לתמונה הדוח השני. ב-24 באפריל פרסמה ANY.RUN ניתוח של נוזקה בשם agenteV2, ו-Group-IB מעריכה ברמת ודאות גבוהה שזו אותה מסגרת בדיוק, על בסיס קוד משותף, שיטת בנייה זהה, תשתית חופפת וארכיטקטורת מטען שווה. שווה להתייחס לזה כהערכה של Group-IB ולא כעובדה מוכחת, אבל הפרטים מתיישבים היטב: אותה כתובת IP, 38.242.246.176, ואותו פורט 8443, ואותם שמות קבצים משונים.

השרשרת שסרקיירה תיאר מתחילה במייל שמתחזה לזימון של בית משפט מחוזי בברזיל, עם מספר תיק בפורמט התקני של מערכת בתי המשפט הברזילאית. מצורף אליו PDF מוגן בסיסמה, וזה לא קישוט. קובץ מוגן בסיסמה חוסם ארגזי חול של שערי דואר, שאינם יכולים לפתוח אותו ולבדוק מה בפנים. הקורבן שמנסה לפתוח מקבל הודעת שגיאה שמאשימה רכיב תוכנה חסר ומציעה קישור להורדה, ומה שיורד הוא קובץ VBS. השלב הזה מסנן את מי שלא באמת השתכנע.

משם זה מהיר. ה-VBS פונה לשרת שער, ודרך שרשרת הפניות מוריד שני קבצים לספרייה שנראית כמו רכיב מערכת של Wi-Fi. אחד מהם מוגש מהשרת בשם msedge04.exe ונשמר מקומית בשם wifi_driver.exe, שינוי שם מכוון בזמן ההורדה. לאחר מכן נוצרות שתי משימות מתוזמנות שרצות בהתחברות ובהרשאות הגבוהות ביותר, וה-VBS מריץ את עצמו מחדש עם ארגומנטים שמדלגים על בקשת האישור של UAC. הליבה עצמה, DLL שקומפל מ-Python לקוד מכונה בעזרת Nuitka, היא זו שקוראת את דף ה-Pastebin ופותחת את החיבור. הביקון חוזר בערך כל 60 שניות.

חמש גרסאות בארבעה חודשים

Group-IB עקבה אחרי חמש גרסאות בין פברואר למאי 2026, והכיוון ניכר. הגרסה הראשונה הייתה בעיקר גישה מרחוק בסיסית, עם מפתח רישום בשם MonitorSystem שהחזיק אותה אחרי אתחול. השנייה הוסיפה את ההצפנה ואת הסריקה הראשונה אחרי סיומות פיננסיות, ועדיין כוונה רחב, לדומיינים של Mercado Libre ו-Mercado Pago בארבע מדינות. בגרסאות השלישית והרביעית המפתחים צמצמו את היעד לברזיל בלבד והעמיקו את הסקירה, עם נתיבי התקנה מפורשים של מערכות ERP מקומיות. החמישית, האחרונה, היא זו שהוסיפה את פרופיל המכונה המלא, ולפי הדוח אף מנוע ב-VirusTotal לא זיהה אותה בזמן הניתוח.

יש בדוח גם סימן קטן להתרחבות: שני מחשבים נגועים בארצות הברית הוצעו בזירה באפריל. Group-IB מסייגת שתצפית בודדת אינה מספיקה כדי לקבוע שינוי מגמה, ומעלה שתי אפשרויות: שותף חדש או הרחבה של הפעילות.

מה זה אומר בפועל

המסקנה המעשית לא נמצאת בשמות הקבצים אלא בשאלה מה על ה-endpoint שווה כסף למישהו. אם יש בארגון שלכם תעודות חתימה בסיומות pfx. ו-p12. ששוכבות על תחנות עבודה ובתיקיות משותפות בענן, ואם מערכת ה-ERP מייצאת קובצי תשלום לבנק, אלה בדיוק הפריטים שמסגרת כזאת סופרת ומדווחת עליהם לפני שהגישה נמכרת. שווה לדעת איפה הקבצים האלה יושבים, ולהגביל את הגישה אליהם לפי מי שבאמת צריך אותם.

הצד השני הוא הזיהוי. מנגנון שמושך את כתובת השרת שלו מדף ציבורי הופך חסימת IP לפעולה עם תוקף של שעות, ולכן החיפוש צריך להיות התנהגותי: תהליך שנשמר בספרייה שמתחזה לרכיב מערכת, משימות מתוזמנות שנוצרות בהרשאות גבוהות בעקבות הרצת VBS מתיקיית ההורדות, וחיבור WebSocket יוצא ומתמשך משולחן עבודה שאין לו שום סיבה לפתוח אחד כזה.