BREEZE COMET: grupo brasileiro invade sistemas financeiros e executa transferências fraudulentas

Grupo brasileiro BREEZE COMET evolui de intrusões corporativas para ataques diretamente contra a infraestrutura de pagamentos, combinando engenharia social, dispositivos não autorizados, malware próprio, movimentação lateral e conhecimento dos processos financeiros para executar transferências fraudulentas.

Da engenharia social ao acesso físico à rede

As primeiras intrusões observadas pela Mandiant em 2024 ainda utilizavam técnicas conhecidas. Entre elas estavam password spraying e chamadas de voz nas quais os criminosos se passavam por equipes de suporte de TI para convencer funcionários a instalar ferramentas de Remote Monitoring and Management (RMM), como AnyDesk. A Axur também relacionou a atividade a campanhas de voice phishing e a tentativas de recrutamento de pessoas com acesso interno às organizações.
Em 2025, entretanto, o grupo passou a mostrar métodos mais agressivos. O GTIG observou dispositivos de hardware não autorizados sendo conectados diretamente às redes de lojas para criar um ponto inicial de acesso. Quando uma porta Ethernet permitia a conexão sem controles adicionais, o equipamento recebia um endereço IP do próprio servidor DHCP da organização e passava a operar como um dispositivo interno.
Esse detalhe transforma segmentação e controle de acesso à rede em questões centrais. Uma rede pode possuir firewalls robustos na borda e ainda assim permitir que um dispositivo conectado fisicamente em uma filial obtenha conectividade suficiente para reconhecimento e movimentação lateral. Por isso, o GTIG recomenda controles como 802.1X Network Access Control (NAC), desativação de portas de switch não utilizadas, restrições de Port Security e proteção física de pontos e armários de rede.

Sites governamentais comprometidos passaram a servir de infraestrutura

Outra evolução importante ocorreu quando o BREEZE COMET passou a comprometer sites governamentais brasileiros de menor porte e utilizá-los como infraestrutura de preparação e entrega de malware. Arquivos maliciosos podiam ser apresentados como documentos aparentemente legítimos, enquanto o uso de domínios confiáveis ajudava a contornar filtros baseados apenas na reputação do endereço.
O mesmo padrão foi observado em domínios municipais de países como Nigéria, Paraguai, Gana e Venezuela. A evidência não significa, por si só, que instituições financeiras nesses países já tenham sofrido o mesmo nível de comprometimento observado no Brasil, mas demonstra que a infraestrutura e as técnicas do grupo não estão limitadas ao território brasileiro.

Reconhecimento interno procura credenciais e caminhos até os sistemas de pagamento

Depois de obter presença no ambiente, o BREEZE COMET utiliza ferramentas públicas e código próprio para mapear a infraestrutura. Impacket, ADRecon e outras ferramentas de reconhecimento foram observadas ao lado do REALBREEZE, utilitário criado pelo grupo para ataques de força bruta contra LDAP. A operação também procura ambientes de desenvolvimento e pipelines de CI/CD em busca de credenciais embutidas, chaves de API e tokens de nuvem com privilégios elevados.
A investigação mostra que a busca é direcionada. Scripts identificados pela Mandiant procuravam arquivos, variáveis de ambiente, certificados administrativos e credenciais mTLS capazes de autenticar sistemas associados a pagamentos. Entre os termos de pesquisa encontrados estavam referências a boleto, CNAB, remessa, webhook Pix e pagamentos instantâneos.
Isso indica que o comprometimento não termina com o controle de um endpoint. O atacante tenta compreender como a instituição processa transferências, quais sistemas possuem autorização para emitir ordens, onde estão os controles antifraude e quais identidades ou certificados precisam ser obtidos para alcançar a camada transacional.

COBALTSPIN ajuda a atravessar redes financeiras segmentadas

A movimentação lateral utiliza protocolos comuns, incluindo RDP e SMB, combinados com contas de serviço comprometidas. O componente mais relevante dessa etapa é o COBALTSPIN, malware escrito em Rust que funciona como um tunelador de rede. Segundo o GTIG, ele estabelece um proxy reverso SOCKS5 sobre WebSocket para encaminhar tráfego entre a infraestrutura de comando e controle e recursos internos.
Essa capacidade permite que o invasor atravesse redes segmentadas e alcance APIs ou aplicações financeiras que não estão expostas diretamente à Internet. Em outras palavras, o comprometimento de uma máquina aparentemente periférica pode se transformar em um caminho técnico até sistemas que processam pagamentos, desde que as relações de confiança, as rotas internas e os privilégios necessários sejam progressivamente conquistados.

Uma arquitetura de persistência com backdoors em Java, Nim e Go

O BREEZE COMET desenvolveu diferentes componentes para preservar acesso e criar redundância. O LIGHTPAINT, baseado em Java, instala uma VPN legítima como o SoftEther e altera configurações para manter conectividade persistente. O MILDFROST, também baseado em Java, pode permanecer oculto no espaço de processo da JVM e utilizar túneis DNS como canal alternativo de comando e controle.
Já o KICKPLATE, desenvolvido em Nim, se apresenta como Windows Update Health Tools e pode controlar túneis SOCKS5, modificar chaves de inicialização do Registro e alterar serviços do Windows. O BOATBEAM, escrito em Go, inicia um servidor HTTPS que simula IIS na porta 443 e ativa suas funções de backdoor somente após receber um cookie específico de sessão.
A Mandiant também observou o grupo desativando a proteção em tempo real do Microsoft Defender com PowerShell e apagando registros de eventos depois das operações. O conjunto mostra uma preocupação clara com persistência, evasão e manutenção de múltiplos caminhos de acesso, característica compatível com operações que precisam permanecer tempo suficiente dentro do ambiente para compreender processos financeiros antes de executar a fraude.

O objetivo final: fazer o próprio ambiente financeiro movimentar o dinheiro

A parte mais crítica da operação acontece quando o grupo chega às aplicações financeiras e às identidades privilegiadas capazes de interagir com a infraestrutura de pagamentos. Conforme a Mandiant, o BREEZE COMET precisa combinar acesso à Rede do Sistema Financeiro Nacional por meio de uma entidade autorizada, credenciais mTLS, persistência em contas do Active Directory ou ambientes de nuvem e conhecimento dos procedimentos de transferência e dos mecanismos antifraude da vítima.
Uma vez reunidos esses elementos, o problema deixa de ser apenas a proteção de uma chave criptográfica ou de uma senha isolada. Uma aplicação legitimamente autorizada, porém controlada por um atacante, pode submeter ordens fraudulentas usando os próprios mecanismos de autenticação da organização. A consequência é uma fraude que pode atravessar controles técnicos porque parte de um componente reconhecido como confiável.
Em um caso analisado, centenas de transações fraudulentas foram realizadas em duas ondas dentro de 24 a 48 horas após a obtenção do acesso necessário. A pesquisa informa que o grupo conseguiu executar pelo menos um roubo equivalente a dezenas de milhares de dólares. Depois da ação, registros de eventos e diretórios utilizados na invasão foram apagados para reduzir evidências forenses.

IA generativa aparece no desenvolvimento das ferramentas

O GTIG afirma ter encontrado evidências de uso de grandes modelos de linguagem para acelerar a criação de scripts de reconhecimento, validação de credenciais, implantação em massa, movimentação específica por vítima e extração de dados. Os artefatos recuperados apresentavam código funcional e altamente customizado, mas também estruturas expansivas, comentários muito detalhados e cabeçalhos de execução padronizados, sinais que contribuíram para a avaliação dos pesquisadores.
O aspecto mais relevante não é simplesmente afirmar que criminosos “usam IA”. O impacto operacional está na redução do tempo necessário para adaptar scripts, testar caminhos, automatizar tarefas repetitivas e coordenar compromissos em vários ambientes. Para as equipes de defesa, isso significa ciclos menores entre reconhecimento, adaptação e exploração.

Como reduzir a exposição ao modelo de ataque do BREEZE COMET

A defesa precisa acompanhar a mesma lógica da cadeia de ataque. Bloquear somente malware conhecido ou reforçar apenas o perímetro deixa lacunas quando o adversário combina engenharia social, ferramentas legítimas, hardware não autorizado e contas reais. A primeira medida é controlar rigorosamente softwares de acesso remoto e ferramentas RMM, permitindo apenas aplicações aprovadas e monitoradas.
Nas redes de filiais e ambientes de varejo, 802.1X, NAC, Port Security e desativação de portas não utilizadas reduzem a possibilidade de um equipamento não autorizado simplesmente entrar na rede. Em identidade, autenticação multifator resistente a phishing, proteção de contas privilegiadas, revisão de contas de serviço e monitoramento de uso anômalo de RDP e SMB ajudam a dificultar a movimentação lateral.
Em ambientes Windows, o GTIG recomenda ainda restringir ferramentas administrativas sensíveis, habilitar registros detalhados de PowerShell, utilizar recursos como Antimalware Scan Interface (AMSI) e identificar tentativas de execução em memória. A inspeção de tráfego de saída também é essencial para detectar túneis, proxies reversos, VPNs não autorizadas e canais DNS incomuns.
Para organizações que operam infraestrutura financeira, o controle mais importante está próximo da própria transação. Aprovações administrativas precisam ser auditadas, chamadas de API devem ser correlacionadas com identidade, origem, horário, volume e padrão de negócio, e operações de alto impacto devem possuir um processo secundário de validação que não possa ser contornado apenas pelo comprometimento de uma aplicação.

O BREEZE COMET representa uma mudança importante no cibercrime financeiro brasileiro

O caso BREEZE COMET mostra uma evolução relevante do cibercrime regional. Em vez de concentrar esforços apenas em fraudes de grande volume contra usuários finais, o grupo procura comprometer as organizações e os componentes que possuem autoridade real para operar o sistema financeiro. Isso aumenta o valor de cada intrusão e, ao mesmo tempo, exige conhecimento técnico e operacional muito mais profundo.
A possibilidade de replicar essa abordagem em outros países amplia o interesse internacional sobre o grupo. Ainda não há base para afirmar que todo o modelo brasileiro já esteja sendo usado com o mesmo sucesso em sistemas financeiros estrangeiros, mas a utilização de infraestrutura comprometida fora do país e a expansão das técnicas indicam uma capacidade de internacionalização que merece monitoramento.
Para as organizações, a principal lição é que segurança de pagamentos não pode ser tratada apenas como criptografia, antifraude ou proteção de endpoint. Ela depende da integridade de identidades, aplicações, APIs, certificados, redes, estações administrativas, pipelines de desenvolvimento e processos de aprovação. Quando um atacante consegue assumir a confiança atribuída a esses componentes, uma transação pode parecer válida para a tecnologia e ainda assim ser fraudulenta para o negócio.