Um grupo cibercriminoso vêm, nos últimos tempos, se infiltrando em sistemas financeiros brasileiros com fins de abuso de infraestrutura de pagamentos e envio de transações ilegais.

O grupo ‘Breeze Comet’, antes identificada como UNC5669, parece perfilar alvos de maneira bem distinta, tendo como seus principais alvos companhias fintech, e-commerce, serviços financeiros, serviços governamentais e bancos. Utilizando de táticas criativas de infiltração, o grupo explora a infraestrutura de pagamento brasileira para executar transações, enviando milhares de dólares a si mesmos, de acordo com pesquisas recentes [1] do Google Threat Intelligence Group (GTIG) e da Mandiant.

Os ataques iniciais do grupo não se diferiam das táticas tradicionais frequentemente utilizadas – como password spraying e ligações de phishing -,  atividades do grupo identificadas pela Mandiant em 2024. O grupo fingia atuar como um help desk legítimo de TI, tendo como objetivo final a instalação de sistemas de monitoramento e gerência remota – RMMs – em máquinas de organizações alvo.

Em 2025, pesquisadores da firma de inteligência de ameaças Axur descobriram que os hackers estavam tentando recrutar funcionários das corporações alvo para participação nas atividades maliciosas. Nesses casos, a invasão se daria por meio da conexão de um hardware próprio o qual proveria um ponto de acesso inicial para a invasão. Assim que conectados às portas dos dispositivos, o próprio servidor DHCP – Protocolo de Configuração Dinâmica de Host – local da empresa atribuía um IP ao dispositivo externo, permitindo, dessa maneira, que os atacantes conduzissem atividades de reconhecimento e que expandissem seu acesso na rede corporativa.

O Googe Threat Intelligence Group, portanto, recomenda que organizações implementem algumas mudanças visando evitar esse tipo de infiltração: “É recomendado que se implemente 802.1X Network Access Control (NAC) nas portas Ethernet dos switches em localizações de filiais/varejos para prevenir que dispositivos não autorizados obtenham um endereço IP ou que se comuniquem com sub-redes internas.”. O GTIG também recomenda que portas de switch não utilizadas sejam desabilitadas e que sejam implementados sistemas de restrição física aos armários de rede e aos conectores de rede de acesso público.

O grupo brasileiro, porém, encontrou sua mais eficiente estratégia de intrusão no meio do ano passado – 2025. O grupo identificou websites do governo brasileiro insuficientemente protegidos, explorando a brecha para injetar malware nos sites e, como efeito, para aproveitar dos implicitamente domínios confiáveis em ataques subsequentes de engenharia social contra os alvos reais. Há sinais de que o grupo também têm replicado esta fórmula em países como Nigéria, Paraguai, Venezuela e Ghana.

Pesquisadores da GTIG e da Mandiant também observaram evidências de que o Breeze Comet têm utilizado de inteligência artificial generativa para devenvolvimento de malware, o que pode, possivelmente, implicar no aumento de escala, de velocidade e na maior sofisticação das operações do grupo no futuro, de acordo com o relatório.

Como os sitemas de pagamento são explorados

Um dos malwares mais utilizados pelo grupo é o CobaltSpin, o qual estabelece um sistema de túneis entre a rede interna da corporação e os servidores C2 – comando e controle – do grupo malicioso. O objetivo final da estratégia é atingir serviços de pagamento utilizados pelas empresas – sistemas como o Pix, Boleto e Sistema de Transferência de Reservas (STR).

“O grupo aparenta ter amplo conhecimento do sistema de pagamentos brasileiro, entendendo que cada implementação do Pix será ligeiramente diferente“, dizem pesquisadores da Infoblox [3], empresa-mãe da Axur. O grupo então, a partir destes conhecimentos, sabe que, sempre que uma organização é comprometida, torna-se necessário tomar conhecimento de seu processo de autorização, seu processo contra abuso e fraude e de, acima de tudo, tomar conhecimento do fluxo de operações a ser executado pelo grupo. Dessa maneira, um estudo é conduzido visando descobrir como executar transações sem que sistemas anti-fraude ou abuso detectem a atividade.

Em casos observados por pesquisadores, o Breeze Comet executou milhares de transações fraudulentas dentro de 24 a 48 horas depois de ganhar acesso ao sistema de pagamento alvo, roubando quantidades monetárias equivalentes a milhares de dólares.

Como se proteger

A InfoBlox recomenda que organizações prestem atenção neste tipo de atividade ao identificar os túneis e RMMs utilizados pela Breeze Comet para executar comandos internos de rede. ” Caso você seja uma corporação e não autorize explicitamente o uso de RMMs ou outras tecnologias de monitoramento remoto, bana-os e bloqueie os domínios os quais os usam.”.

Além disso, é recomendado que seja implementada uma fiscalização rigorosa em relação aos fluxos de trabalho de aprovação dos gerentes. É necessário que sejam implementados sistemas em que os gerentes – autenticados – analisam o fluxo de transações e nos quais não sejam possíveís chamadas de api executarem transações sem garantias de legitimidade.

Referências

[1] https://cloud.google.com/blog/topics/threat-intelligence/financially-motivated-threat-actor-breeze-comet-targets-brazil/

[2] https://www.darkreading.com/threat-intelligence/breeze-comet-brazilian-global-financial-systems