Il gruppo criminale Breeze Comet ha preso di mira dal 2024 banche, servizi finanziari e aziende retail in Brasile, sfruttando vulnerabilità nei sistemi di pagamento per eseguire centinaia di transazioni fraudolente e sottrarre decine di migliaia di dollari.
Dal 2024, Breeze Comet, noto anche come UNC5669, ha intensificato le sue attività criminali contro banche, servizi finanziari e aziende retail in Brasile. Secondo Google Threat Intelligence Group (GTIG) e Mandiant, il gruppo si distingue per la capacità di manipolare software bancari e sistemi di pagamento locali, riuscendo a effettuare trasferimenti fraudolenti per decine di migliaia di dollari. Le operazioni di Breeze Comet mostrano sovrapposizioni con i cluster di minacce Plump Spider e SHADOW-AETHER-064, già monitorati da CrowdStrike e Trend Micro.
Metodi di attacco e vettori di accesso iniziale
Il gruppo, attivo almeno da settembre 2023 e con base in Brasile, ottiene l'accesso iniziale alle reti delle vittime tramite attacchi di password spraying e chiamate vocali in cui si spaccia per il supporto IT, convincendo i dipendenti a installare strumenti di Remote Monitoring and Management (RMM) come AnyDesk. In un caso documentato da Axur nel novembre 2025, i criminali hanno utilizzato WhatsApp per guidare la vittima nell'installazione di uno script PowerShell camuffato da aggiornamento aziendale. In alternativa, sfruttano vulnerabilità nei server JBoss AS per installare web shell e strumenti come Chisel, utili per il movimento laterale e l'esfiltrazione di dati.
Obiettivi e tecniche di compromissione
Breeze Comet prende di mira organizzazioni autorizzate a operare transazioni tramite software bancari, API e sistemi come Pix, STR e Boleto, inclusi banche, processori di pagamento, retailer, fintech e fornitori di software bancario. Le tattiche si sono evolute fino a includere una suite malware personalizzata e l'uso di siti web compromessi per facilitare l'accesso iniziale e il comando remoto. L'infrastruttura operativa suggerisce anche un'espansione verso altri paesi dell'America Latina e dell'Africa.
Per portare a termine le frodi, il gruppo deve ottenere: accesso alla National Financial System Network (RSFN) tramite un ente abilitato; credenziali mTLS per inviare ordini autenticati a Pix o STR; accesso a più account Active Directory e cloud delle vittime; e una conoscenza approfondita delle procedure di trasferimento, controlli di rete e sistemi antifrode delle organizzazioni bersaglio.
Strumenti e tecniche avanzate di persistenza
Tra le tecniche più sofisticate figurano l'uso di siti governativi brasiliani compromessi per distribuire strumenti RMM, infostealer camuffati da documenti fiscali e backdoor come XWorm, oltre a utilizzarli come endpoint C2 per eludere i filtri di reputazione. Metodi simili sono stati osservati anche in Nigeria, Paraguay, Ghana e Venezuela. Il gruppo collega dispositivi hardware non autorizzati alle reti dei negozi retail per ottenere un accesso diretto e scaricare strumenti come Netcat e script personalizzati per il post-exploitation.
Per la ricognizione interna e l'escalation dei privilegi, Breeze Comet utilizza strumenti come Impacket, ADRecon, ADVipscan e il proprio tool REALBREEZE per attacchi brute-force LDAP. Il movimento laterale avviene tramite sessioni RDP non autorizzate e comandi SMB, con il deployment di COBALTSPIN, un malware Rust-based che crea tunnel di rete SOCKS5 su WebSocket per mantenere l'accesso persistente alle infrastrutture API finanziarie.
Fasi finali dell'attacco e cancellazione delle tracce
Le strategie di persistenza sono passate dall'uso di strumenti RMM commerciali nel 2024 al deployment di pod Kubernetes malevoli e al furto di segreti cloud esfiltrati su siti pubblici come dontpad[.]com. Sono state osservate backdoor custom come LIGHTPAINT (Java, per installare SoftEther VPN), MILDFROST (Java JAR per tunnel DNS), KICKPLATE (Nim, che simula Windows Update Health Tools) e BOATBEAM (Golang, che avvia un falso server HTTPS su porta 443). Per evitare la rilevazione, vengono disabilitati i controlli di Windows Defender tramite PowerShell.
Nella fase conclusiva, Breeze Comet sfrutta COBALTSPIN e account privilegiati compromessi per accedere alle applicazioni finanziarie core ed eseguire centinaia di transazioni fraudolente. Successivamente, i log degli eventi vengono cancellati e le directory create durante l'intrusione eliminate, riducendo al minimo le tracce forensi.
Automazione e impatto sul panorama delle minacce
Analisi recenti hanno rilevato nei malware di Breeze Comet commenti esplicativi e header standardizzati, segno dell'uso di modelli linguistici di grandi dimensioni (LLM) per accelerare lo sviluppo del codice malevolo. Trend Micro ha inoltre individuato script con descrizioni di processi decisionali autonomi. Secondo Google, questa evoluzione rappresenta un cambio di paradigma rispetto alle tradizionali frodi retail in America Latina, spostando il focus verso attacchi diretti alle infrastrutture di pagamento istantaneo. L'uso crescente di LLM da parte dei gruppi criminali riduce i tempi di sviluppo delle minacce e aumenta la pressione sugli ecosistemi finanziari interconnessi.
