Organizações brasileiras dos setores de serviços financeiros, varejo e comércio eletrônico vêm sendo alvo, desde 2024, de um threat actor com motivação financeira identificado como Breeze Comet, anteriormente conhecido como UNC5669.
O Google Threat Intelligence Group (GTIG) e equipes da Mandiant descreveram o grupo como especializado em manipular sistemas de pagamento e softwares bancários no Brasil para realizar transferências fraudulentas. Segundo as apurações, o adversário já teria executado com sucesso ao menos um roubo de ativos avaliado em dezenas de milhares de dólares.
A atividade observada coincide com clusters de ação monitorados pela CrowdStrike e pela Trend Micro sob os nomes Plump Spider e SHADOW-AETHER-064. De acordo com a CrowdStrike, o grupo de cibercrime opera a partir do Brasil e está ativo desde setembro de 2023, monetizando suas intrusões ao obter acesso não autorizado a sistemas internos de pagamento e executar transações fraudulentas.
O acesso inicial a entidades financeiras e empresas que oferecem serviços financeiros ocorre por meio de password spraying e de ligações de voz em que os criminosos se passam por equipes de suporte de TI para convencer as vítimas a instalar ferramentas de monitoramento e gerenciamento remoto, conhecidas como RMM, como o AnyDesk. Em um caso destacado pela Axur em novembro de 2025, os threat actors se fizeram passar por profissionais de suporte de TI em uma conversa no WhatsApp e orientaram a vítima a instalar um script de reconhecimento em PowerShell sob o pretexto de atualizar um aplicativo corporativo.
Em outra frente, o grupo também explorou servidores JBoss AS vulneráveis para implantar web shells, que depois eram usados para entregar ferramentas adicionais, incluindo Chisel e outros utilitários de proxy, para exploração posterior.
Os principais alvos do threat actor são organizações com permissão para realizar transações por meio de software bancário, API e sistemas de pagamento como Pix, STR e Boleto. Isso inclui bancos, processadores de pagamento, varejistas, exchanges, além de fintechs e fornecedores de software bancário.
“O Breeze Comet evoluiu suas táticas ao longo do tempo para usar uma suíte de malware personalizada e sites legítimos comprometidos para facilitar o acesso inicial, o command and control (C2) e a interação com software financeiro e API de pagamento”, afirmou o Google. “A infraestrutura operacional do Breeze Comet também pode indicar a intenção de expandir sua presença para outros países da América Latina e da África.”
Para atingir seus objetivos, porém, o grupo precisa cumprir quatro requisitos: ter acesso à Rede do Sistema Financeiro Nacional (RSFN) por meio de uma entidade que já possua esse acesso; dispor de credenciais mTLS que permitam enviar payloads autenticados com ordens transacionais para Pix ou STR; acessar diversas contas nos ambientes de Active Directory e cloud das organizações visadas; e compreender os procedimentos de processamento de transferências, os controles de rede, as integrações com fintechs e os sistemas antifraude da empresa.
Entre outras táticas relevantes, destacam-se as seguintes:
Uso de sites de pequenos órgãos públicos brasileiros comprometidos para hospedar ferramentas RMM, infostealers disfarçados de documentos legítimos de impostos ou recibos e backdoors como o XWorm, além de empregá-los como endpoints de C2 para contornar filtros de reputação e evitar detecção. Um modus operandi semelhante foi replicado na Nigéria, Paraguai, Gana e Venezuela, indicando um foco crescente nesses alvos.
Conexão de dispositivos de hardware maliciosos diretamente às redes de lojas de varejo como forma de estabelecer pontos de apoio iniciais e depois se movimentar lateralmente até sistemas internos, seguida do download da ferramenta Netcat e de scripts personalizados para obter frameworks de pós-exploração.
Uso de Impacket, ADRecon e ADVipscan, além do utilitário personalizado de brute forcing em LDAP REALBREEZE, para fazer reconhecimento interno e elevar privilégios ao atingir ambientes de desenvolvimento e cloud.
Movimentação lateral por meio da abertura de sessões não autorizadas de Remote Desktop Protocol (RDP) e da execução de comandos via compartilhamentos de arquivos em rede SMB. Essa etapa também envolve a implantação do COBALTSPIN, um malware de roteamento baseado em Rust que atua como um túnel de rede para se comunicar com a infraestrutura de API financeira e manter acesso persistente à rede.
“Ao estabelecer um proxy SOCKS5 reverso sobre uma conexão WebSocket, o COBALTSPIN roteia o tráfego de rede de forma segura entre o C2 e os alvos internos, permitindo movimentação lateral diretamente por firewalls de perímetro sem exigir mecanismos nativos de persistência que possam acionar a detecção”, afirmou o Google.
Os mecanismos de persistência do Breeze Comet evoluíram de ferramentas comerciais de RMM descartadas em 2024 para o uso de pods maliciosos de Kubernetes um ano depois, além do roubo de segredos em cloud por meio da exfiltração para sites públicos de anotações, como o “dontpad[.]com”. Desde então, o threat actor também passou a empregar múltiplos backdoors personalizados como método redundante de acesso e para ampliar seu ponto de apoio:
LIGHTPAINT, um backdoor baseado em Java usado para instalar o legítimo SoftEther VPN e configurá-lo para persistência automatizada
MILDFROST, um backdoor passivo em Java JAR usado para estabelecer túneis DNS encobertos
KICKPLATE, um backdoor baseado em Nim que se passa por Windows Update Health Tools e é usado para entregar payloads secundários e executar comandos para controlar túneladores SOCKS5
BOATBEAM, um backdoor baseado em Golang que inicia um falso servidor IIS HTTPS na porta 443
Para garantir que esses mecanismos de persistência não sejam detectados e removidos, o threat actor executa comandos em PowerShell para desativar o monitoramento em tempo real do Windows Defender nos hosts comprometidos.
Na fase final, o COBALTSPIN e contas privilegiadas comprometidas são usados para acessar aplicações financeiras centrais e executar centenas de transações fraudulentas. Ao concluir a operação, os event logs são apagados para reduzir a presença forense e ocultar quaisquer interações com API de software financeiro e sistemas de pagamento. Qualquer diretório criado durante a intrusão também é removido.
A presença de comentários explicativos detalhados e cabeçalhos padronizados de execução indica o uso de um large language model (LLM) para acelerar o ciclo de desenvolvimento do malware. Uma análise anterior da Trend Micro, em maio de 2026, também identificou scripts com “descrições de auto-raciocínio e processos autônomos de tomada de decisão”.
“Embora o ecossistema de cibercrime da América Latina tenha sido historicamente definido por fraudes de varejo de alto volume no lado do cliente, as campanhas do Breeze Comet representam uma mudança notável que pode servir como modelo para futuras ameaças com motivação financeira contra organizações da região”, afirmou o Google.
“Essa transição da fraude oportunista em bancos de varejo para intrusões diretas no núcleo do switch financeiro e na infraestrutura de pagamento instantâneo é notável não apenas pela mudança de alvo, mas também pelas capacidades do threat actor. À medida que grupos de ameaça passam a usar LLMs para simplificar rotinas operacionais, os defensores precisam se preparar para prazos de resposta mais curtos dos adversários e maior pressão sobre ecossistemas financeiros interconectados.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...