С 2024 года бразильские организации, работающие в сфере финансовых услуг, розничной торговли и электронной коммерции, стали мишенью злоумышленника, преследующего финансовые цели, получившего название Breeze Comet (ранее UNC5669).
Команды Google Threat Intelligence Group (GTIG) и Mandiant охарактеризовали эту группу как «специализирующуюся на манипулировании платежными системами и банковским программным обеспечением в Бразилии с целью осуществления мошеннических переводов». Сообщается, что злоумышленникам удалось осуществить как минимум одно ограбление, в результате которого были похищены активы на сумму в десятки тысяч долларов США.
Эта деятельность пересекается с кластерами вредоносной активности, отслеживаемыми CrowdStrike и Trend Micro под названиями Plump Spider и SHADOW-AETHER-064. По данным CrowdStrike, эта киберпреступная группировка действует из Бразилии и ведет свою деятельность с сентября 2023 года, извлекая финансовую выгоду из своих вторжений путем получения несанкционированного доступа к внутренним платежным системам и проведения мошеннических транзакций.
Первоначальный доступ к финансовым организациям и компаниям, предоставляющим финансовые услуги, осуществляется с помощью метода «password spraying» и голосовых звонков, при которых злоумышленники выдают себя за сотрудников службы ИТ-поддержки, чтобы убедить жертв установить инструменты удаленного мониторинга и управления (RMM), такие как AnyDesk. В одном из случаев, о котором в ноябре 2025 года сообщила компания Axur, злоумышленники выдавали себя за сотрудников службы ИТ-поддержки в ходе разговора в WhatsApp и под предлогом обновления корпоративного приложения убедили жертву установить разведывательный скрипт PowerShell.
Кроме того, группа атаковала уязвимые серверы JBoss AS для развертывания веб-оболочек, которые затем используются для доставки дополнительных инструментов, включая Chisel и другие прокси-утилиты, для последующей эксплуатации уязвимостей.
Основными целями злоумышленников являются организации, имеющие право проводить транзакции через банковское программное обеспечение, API и платежные системы, такие как Pix, STR и Boleto. Сюда входит широкий спектр организаций, включая банки, платежные системы, розничные сети и биржи, не говоря уже о поставщиках финтех-решений и банковского программного обеспечения.
«Тактика Breeze Comet со временем эволюционировала: теперь злоумышленники используют набор специально разработанного вредоносного ПО и взломанные, вызывающие доверие веб-сайты для облегчения первоначального доступа, установления связи с командно-контрольным сервером (C2) и взаимодействия с финансовым программным обеспечением и платежными API», — сообщила компания Google. «Операционная инфраструктура Breeze Comet также может свидетельствовать о намерении расширить географию присутствия в другие страны Латинской Америки и Африки».
Однако для достижения своих целей группе необходимо выполнить четыре условия: иметь доступ к Национальной сети финансовой системы (RSFN) через организацию, которая уже обладает таким доступом; доступ к учетным данным mTLS, позволяющим отправлять аутентифицированные полезные нагрузки с транзакционными поручениями в Pix или STR; доступ к нескольким учетным записям в Active Directory и облачных средах целевых организаций; а также понимание процедур обработки переводов, сетевых механизмов контроля, интеграций с финтех-решениями и систем защиты от мошенничества в организации.
Ниже перечислены некоторые другие примечательные тактики —
- использование взломанных веб-сайтов небольших бразильских государственных учреждений для размещения инструментов RMM, программ-шпионов, маскирующихся под законные налоговые документы или квитанции, и бэкдоров, таких как XWorm, а также использование их в качестве конечных точек C2 для обхода репутационных фильтров и предотвращения обнаружения. Аналогичный способ действий был повторен в Нигерии, Парагвае, Гане и Венесуэле, что свидетельствует о расширении круга целей атак.
- Подключение вредоносных аппаратных устройств непосредственно к сетям розничных магазинов с целью установления прямых точек опоры, а затем латерального перемещения к внутренним системам, с последующей загрузкой утилиты Netcat и пользовательских скриптов для получения фреймворков, используемых на этапе последующей эксплуатации.
- Использование Impacket, ADRecon и ADVipscan, а также настраиваемой утилиты REALBREEZE для перебора паролей по протоколу LDAP с целью проведения внутренней разведки и повышения привилегий путем атак на среды разработки и облачные среды.
- Горизонтальное перемещение путем инициирования несанкционированных сеансов протокола удаленного рабочего стола (RDP) и выполнения команд через сетевые файловые ресурсы SMB. Этот этап также включает развертывание COBALTSPIN — вредоносного ПО для маршрутизации на языке Rust, которое действует как сетевой туннель для связи с финансовой API-инфраструктурой и поддержания постоянного сетевого доступа к ней.
«Устанавливая обратный SOCKS5-прокси через соединение WebSocket, COBALTSPIN безопасно маршрутизирует сетевой трафик между C2 и внутренними целями в обоих направлениях, обеспечивая латеральное перемещение непосредственно через пограничные брандмауэры без необходимости использования встроенных механизмов персистентности, которые могут вызвать обнаружение», — сообщили в Google.
Механизмы персистентности Breeze Comet эволюционировали: сначала в 2024 году злоумышленники использовали коммерческие инструменты RMM, а год спустя перешли к развертыванию вредоносных под-контейнеров Kubernetes и краже секретных данных из облачных сервисов путем их экфильтрации на общедоступные сайты-блокноты, такие как «dontpad[.]com». С тех пор также наблюдалось, как злоумышленник использовал несколько настраиваемых бэкдоров в качестве резервного метода доступа и расширял свою зону присутствия —
- LIGHTPAINT — бэкдор на базе Java, который используется для установки легального SoftEther VPN и его настройки на автоматическое сохранение присутствия
- MILDFROST — пассивный бэкдор в виде Java-JAR, используемый для создания скрытых DNS-туннелей
- KICKPLATE — бэкдор на языке Nim, который маскируется под инструменты Windows Update Health Tools и используется для доставки вторичных полезных нагрузок, а также запускает команды для управления SOCKS5-туннелями
- BOATBEAM — бэкдор на языке Golang, запускающий поддельный HTTPS-сервер IIS на порту 443
Чтобы гарантировать, что эти механизмы сохранения присутствия не будут обнаружены и удалены, злоумышленник выполняет команды PowerShell для отключения мониторинга в режиме реального времени Windows Defender на скомпрометированных хостах.
На заключительном этапе с помощью COBALTSPIN и скомпрометированных учетных записей с привилегированным доступом осуществляется доступ к основным финансовым приложениям и выполняются сотни мошеннических транзакций. По завершении операции журналы событий очищаются, чтобы минимизировать следы для криминалистической экспертизы и скрыть любые взаимодействия через API с финансовым программным обеспечением и платежными системами. Также удаляются все каталоги, созданные в ходе вторжения.
Наличие подробных пояснительных комментариев и стандартизированных заголовков выполнения указывает на использование большой языковой модели (LLM) для сокращения жизненного цикла разработки вредоносного ПО. В предыдущем анализе компании Trend Micro, проведенном в мае 2026 года, также было обнаружено, что некоторые скрипты содержат «описания процессов самостоятельного рассуждения и автономного принятия решений».
«Хотя экосистема киберпреступности в Латинской Америке исторически характеризовалась клиентскими мошенничествами в розничной сфере с большими объёмами, кампании Breeze Comet представляют собой заметный сдвиг, который может послужить моделью для будущих угроз с финансовой мотивацией, направленных против организаций в этом регионе», — заявила компания Google.
«Этот переход от случайных мошенничеств в сфере розничного банкинга к прямым вторжениям в основные финансовые коммутаторы и инфраструктуру мгновенных платежей примечателен не только изменением целей атак, но и возможностями злоумышленников. Поскольку преступные группы всё чаще используют LLM для оптимизации рутинных операций, специалистам по кибербезопасности следует ожидать сокращения времени реагирования злоумышленников и усиления давления на взаимосвязанные финансовые экосистемы».