O grupo criminoso mais sofisticado do Brasil está atacando de forma direta o coração do sistema financeiro nacional, desvioando transações Pix, Boleto e STR diretamente para contas controladas pelos atacantes, de acordo com uma nova pesquisa do Google Threat Intelligence Group (GTIG) e da Mandiant.

Enquanto a maioria dos cibercriminosos depende de ransomware ou golpes de engenharia social para obter lucro indireto, o grupo Breeze Comet, anteriormente conhecido como UNC5669, vai direto à fonte. O coletivo tem como alvos instituições financeiras, fintechs, empresas de varejo, sistemas de ponto de venda (PoS), plataformas de e-commerce, órgãos governamentais e bancos. Uma vez dentro, a quadrilha manipula a infraestrutura de pagamentos e dispara transferências ilegais para si mesma, conseguindo desviar valores equivalentes a dezenas de milhares de dólares por operação.

Táticas de intrusão cada vez mais agressivas

Os primeiros ataques do Breeze Comet documentados pela Mandiant, em 2024, começaram com técnicas relativamente comuns, como password spraying e chamadas de vishing se passando por mesas de suporte de TI. O objetivo era instalar softwares de monitoramento e gerenciamento remoto (RMM) dentro das organizações-alvo, escondendo a sofisticação e a motivação real do grupo.

Em 2025, pesquisadores da Axur descobriram que os hackers passaram a recrutar insiders nas empresas visadas. Em outros casos, chegaram a conectar hardware próprio diretamente em redes de lojas de varejo para estabelecer pontos de acesso iniciais. Segundo o GTIG, uma vez conectados às portas físicas, os equipamentos invasores solicitavam e recebiam endereços IP internos dos servidores DHCP das próprias organizações. A falta de segmentação de rede permitiu que os atores maliciosos fizessem reconhecimento e expandissem o acesso às redes corporativas a partir desse ponto de partida.

Estratégia de domínio confiável e uso de IA generativa

No meio do ano passado, o grupo encontrou o que parece ser sua tática mais eficaz: identificar pequenos sites governamentais brasileiros com segurança frágil, hospedar seu malware nessas páginas e usar os domínios confiáveis em ataques de engenharia social contra os alvos reais. De forma preocupante, a quadrilha também tenta replicar esse modelo em outras regiões, invadindo sites municipais em países como Nigéria, Paraguai, Gana e Venezuela.

Pesquisadores da Mandiant e do GTIG também observaram indícios de que o Breeze Comet utiliza inteligência artificial generativa para desenvolver seu malware, o que, segundo o relatório, deve aumentar ainda mais a escala, a velocidade e a sofisticação das operações no futuro.

Arsenal customizado para redes financeiras segmentadas

Após a intrusão inicial, o Breeze Comet emprega um arsenal de malwares personalizados para escalar privilégios, se mover lateralmente e manter persistência na rede. O RealBreeze realiza força bruta contra servidores LDAP, o LightPaint instala uma VPN legítima para garantir acesso contínuo, e o KickPlate se disfarça de Windows Update Health Tools enquanto modifica serviços do Windows e chaves de registro para instalar payloads adicionais.

A peça mais engenhosa, porém, é o CobaltSpin, um malware que atravessa redes financeiras rigorosamente segmentadas e protegidas por firewalls ao estabelecer um túnel de rede a partir de uma máquina interna comprometida até a infraestrutura de comando e controle (C2) do grupo. O objetivo final é alcançar as aplicações financeiras usadas pelas organizações para processar pagamentos, como Pix, Boleto e o Sistema de Transferência de Reservas (STR) no Brasil.

Especialistas em fraude transacional

Zach Edwards, pesquisador de ameaças sênior da Infoblox, controladora da Axur, explicou ao Dark Reading que o grupo domina completamente o sistema de pagamentos instantâneos brasileiro. Esse grupo entende que cada implementação do Pix é ligeiramente diferente. Então, uma vez que você compromete uma organização com acesso ao Pix, precisa entender os processos de autorização, os sistemas de antifraude, e descobrir como submeter ordens fraudulentas em um grande burst ou gotejando ao longo do tempo, afirmou Edwards.

Recomendações de defesa

O GTIG orienta que organizações implementem controles de acesso de rede 802.1X em portas Ethernet físicas de filiais e lojas de varejo para impedir que dispositivos não autorizados obtenham endereço IP ou se comuniquem em sub-redes internas. Os pesquisadores também recomendam desativar portas de rede ociosas e restringir fisicamente o acesso a racks de TI e tomadas de rede expostas ao público.

Edwards ainda aconselha que empresas monitorem a presença de túneis e RMMs usados pelo Breeze Comet para executar comandos internos. Em um caso observado, o grupo executou centenas de transações fraudulentas dentro de 24 a 48 horas após obter acesso ao sistema de pagamento alvo, levantando um alerta global sobre a possibilidade de esse modelo de ataque ser replicado em outros países.

Com informações de: Dark Reading