Ator financeiro amplia operações contra bancos, fintechs, varejistas e provedores para alcançar sistemas internos, credenciais mTLS e a infraestrutura que autoriza transações.
BREEZE COMET é o nome usado pelo Google Threat Intelligence Group (GTIG) para rastrear um ator de ameaça financeiramente motivado, anteriormente identificado como UNC5669. Desde 2024, a Mandiant investiga comprometimentos atribuídos ao grupo contra organizações brasileiras dos setores financeiro, varejista e de comércio eletrônico.
Seu objetivo não é apenas roubar credenciais de clientes. O grupo busca comprometer organizações autorizadas a operar sistemas como Pix, STR e boleto, alcançar a Rede Nacional do Sistema Financeiro (RSFN) e obter credenciais mTLS usadas para autenticar ordens transacionais.
A atividade apresenta sobreposição com operações publicamente descritas como Plump Spider e SHADOW-AETHER-064. Esses nomes, porém, são classificações de diferentes fornecedores de inteligência e não devem ser tratados automaticamente como confirmação de que todos representam exatamente o mesmo grupo ou conjunto de operadores.
Quem é o BREEZE COMET
BREEZE COMET é um cluster de atividade cibercriminosa rastreado pelo GTIG. O termo não identifica necessariamente uma organização formal, uma pessoa específica ou uma estrutura criminosa já conhecida publicamente. Ele reúne intrusões relacionadas por infraestrutura, ferramentas, técnicas, objetivos e padrões operacionais.
O grupo se diferencia de campanhas bancárias tradicionais porque não concentra sua atuação apenas no dispositivo ou na conta do correntista. Sua estratégia é comprometer organizações que participam da cadeia de pagamentos e usar os próprios acessos, aplicações e mecanismos de confiança dessas empresas para executar transferências fraudulentas.
Os principais alvos observados incluem:
- Bancos e instituições financeiras.
- Fintechs e processadores de pagamento.
- Corretoras e exchanges.
- Varejistas e empresas de comércio eletrônico.
- Fornecedores de software bancário e financeiro.
- Organizações com acesso a Pix, STR, boleto, APIs financeiras ou à RSFN.
O que aconteceu
Desde 2024, o BREEZE COMET vem ampliando a complexidade de suas operações no Brasil. Os primeiros comprometimentos incluíram password spraying e chamadas de voz nas quais os operadores se passavam por equipes de suporte para convencer funcionários a instalar ferramentas de monitoramento e acesso remoto, como o AnyDesk.
Em operações posteriores, o grupo passou a utilizar sites governamentais comprometidos para hospedar ferramentas RMM, infostealers apresentados como documentos fiscais e backdoors como o XWORM. O abuso de domínios confiáveis reduz a eficácia de controles baseados apenas em reputação e allowlists.
Também foram observados dispositivos não autorizados conectados diretamente às redes de lojas, exploração de servidores JBoss AS, abuso de contas de serviço, sessões RDP, compartilhamentos SMB e execução de ferramentas de reconhecimento em memória por meio do PowerShell.
Após obter acesso, o BREEZE COMET procura contas privilegiadas, credenciais armazenadas em pipelines de CI/CD, chaves de API, tokens de nuvem, certificados administrativos e credenciais mTLS. Termos como boleto, cnab, remessa, webhook.*pix e instant.*payment foram usados em buscas internas para localizar componentes relacionados aos fluxos financeiros.
Como o grupo opera
A operação combina ferramentas legítimas, contas válidas e malware personalizado. O REALBREEZE é utilizado para ataques contra LDAP; o COBALTSPIN cria um proxy reverso SOCKS5 sobre WebSocket para atravessar redes segmentadas e alcançar infraestrutura de APIs financeiras.
Para persistência e comando e controle, o grupo utiliza diferentes backdoors:
- LIGHTPAINT: instala e configura VPNs legítimas, como SoftEther, e altera regras do Windows Defender Firewall.
- MILDFROST: funciona dentro da JVM e pode usar túneis DNS como canal alternativo de comunicação.
- KICKPLATE: imita componentes do Windows, controla túneis e modifica serviços e chaves de inicialização.
- BOATBEAM: simula um servidor IIS HTTPS e ativa suas funções de backdoor mediante um cookie específico.
A redundância indica preocupação em manter o acesso mesmo após bloqueios parciais. Para reduzir a visibilidade defensiva, o grupo também desativa recursos do Windows Defender, limpa logs e remove diretórios utilizados durante a intrusão.
Por que é importante ficar atento
O ponto central não é apenas a presença de malware, mas o objetivo de manipular a infraestrutura que autentica e processa transações. Se o atacante controla uma conta privilegiada, uma aplicação financeira ou uma credencial mTLS válida, uma ordem fraudulenta pode chegar aos sistemas de pagamento com aparência de operação autorizada.
Isso transforma um incidente de segurança em risco direto para continuidade, liquidez, governança e confiança. O impacto pode alcançar não apenas a instituição comprometida, mas clientes, parceiros, arranjos de pagamento e fornecedores conectados ao mesmo fluxo transacional.
O caso também amplia a relevância do risco de terceiros. Varejistas, processadores e empresas de software podem funcionar como caminho indireto até sistemas financeiros, mesmo quando não são o destino final da fraude.
O papel da IA
A Mandiant identificou evidências de uso de modelos de linguagem para acelerar a criação de scripts de reconhecimento, validação de credenciais, implantação em massa, movimentação entre ambientes e extração de dados.
Isso não significa que o ataque seja autônomo ou inevitável. O grupo ainda depende de acesso inicial, identidades comprometidas, falhas de segmentação e conhecimento dos processos internos. A implicação operacional é outra: o ciclo entre descoberta, adaptação e execução pode ficar mais curto, aumentando a pressão sobre detecção e resposta.
O que fazer agora
- Mapeie a cadeia financeira. Identifique sistemas Pix, STR e boleto, APIs, gateways, HSMs, certificados, aplicações de assinatura, jump hosts e fornecedores com acesso aos fluxos transacionais.
- Proteja credenciais mTLS. Centralize segredos, elimine chaves em código ou variáveis expostas, registre o uso e gere alertas para leitura, cópia, exportação e autenticação fora do padrão.
- Restrinja RMM e VPN. Mantenha inventário e allowlist de AnyDesk, SoftEther e ferramentas equivalentes; investigue executáveis portáteis, novos serviços e regras de firewall fora do processo de mudança.
- Correlacione vishing com identidade. Uma chamada suspeita deve iniciar buscas por downloads, instalação de RMM, novos logins, alterações de MFA e uso posterior da conta.
- Monitore Active Directory e CI/CD. Detecte reconhecimento incomum, password spraying, criação de contas, mudanças em grupos privilegiados e acesso a segredos de pipelines.
- Aumente a visibilidade sobre PowerShell. Ative Script Block Logging, AMSI e Constrained Language Mode quando viável; investigue execução em memória e comandos destinados a desabilitar controles.
- Controle o tráfego de saída. Restrinja portas e protocolos desnecessários, inspecione tráfego TLS quando permitido e procure túneis WebSocket, DNS, SOCKS5 e conexões para serviços públicos de compartilhamento de texto.
- Fortaleça redes de filiais. Use 802.1X/NAC, desative portas ociosas, restrinja acesso físico a racks e valide dispositivos conectados em lojas e escritórios.
- Integre SOC e antifraude. Correlacione sinais técnicos com criação de ordens, alteração de favorecidos, volume, velocidade, origem, comportamento de assinatura e tentativas de contornar limites.
- Faça hunting por sequência. Priorize combinações de conta válida anômala, PowerShell, reconhecimento, tunelamento, alteração de firewall, acesso a certificados e interação com sistemas financeiros.
