Descoberta e escopo da campanha
O grupo criminoso BREEZE COMET, anteriormente rastreado como UNC5669, está direcionando sistematicamente instituições financeiras e empresas de pagamento no Brasil. Diferente de ataques tradicionais focados em contas individuais, este ator busca comprometer os sistemas que processam as transferências, utilizando malware personalizado assistido por inteligência artificial para acelerar a movimentação lateral e a extração de dados.
A análise da Google Cloud identificou que o grupo opera desde 2024, afetando setores de serviços financeiros, varejo e comércio eletrônico. A estratégia envolve o uso de ferramentas como COBALTSPIN, LIGHTPAINT, MILDFROST e BOATBEAM, além de técnicas de engenharia social avançadas, incluindo phishing de voz (vishing) e instalação remota não autorizada de softwares de gerenciamento.
Vetor de ataque e exploração de IA
O diferencial crítico desta operação é a integração de modelos de linguagem grandes (LLMs) no ciclo de vida do ataque. Os pesquisadores observaram que a IA auxilia os criminosos na descoberta de redes, validação de credenciais roubadas, implantação em massa e roteamento específico para vítimas. Isso reduz drasticamente o tempo entre a invasão inicial e a execução de fraudes financeiras.
Os atacantes utilizam o REALBREEZE para tentar adivinhar credenciais de diretório e buscam ativamente segredos em ambientes de desenvolvimento e nuvem, incluindo chaves de API, tokens de nuvem e certificados mTLS. O objetivo final é obter acesso ao Sistema Financeiro Nacional, permitindo a submissão de transferências fraudulentas através de canais legítimos como Pix, STR e Boleto.
Impacto operacional e financeiro
Em um caso documentado, após comprometer contas privilegiadas e acessar aplicativos financeiros centrais, o grupo executou duas ondas de transações fraudulentas contendo centenas de operações em apenas 24 a 48 horas. Após a conclusão das fraudes, os atacantes limpavam logs e deletavam diretórios para ocultar sua atividade, dificultando a detecção forense imediata.
A exposição dos dados sugere que o impacto pode se estender além de uma única vítima, com registros técnicos relacionados a clientes de defesa e indústria de defesa nos EUA, além de credenciais de infraestrutura de saúde vinculadas a organizações globais.
Medidas de mitigação recomendadas
Para proteger infraestruturas contra a BREEZE COMET, as organizações devem implementar as seguintes medidas:
- Controle de Acesso à Rede: Implementar autenticação 802.1X, desabilitar portas de switch não utilizadas e limitar endereços MAC aprovados para prevenir dispositivos rogue nas redes de varejo e filiais.
- Gestão de Credenciais: Bloquear ferramentas de gerenciamento remoto não aprovadas e impedir a execução de software em pastas graváveis pelo usuário. Exigir MFA resistente a phishing para portais externos.
- Segurança em Nuvem: Aplicar princípio de menor privilégio para contas de serviço Kubernetes, bloquear containers privilegiados e aplicar políticas de rede de saída. Manter segredos fora de arquivos de código e ambiente.
- Monitoramento: Vigiar atividades incomuns de PowerShell, novos serviços, alterações de inicialização, tunelamento DNS e acesso a APIs de pagamento.
Perguntas frequentes
Qual é o principal vetor de entrada? O grupo utiliza password spraying, vishing (chamadas falsas de suporte), sites municipais comprometidos e dispositivos físicos conectados às redes de varejo.
Como a IA altera o cenário de ameaças? A IA permite que os atacantes adaptem ferramentas rapidamente às vítimas específicas, encurtando o tempo de latência entre a invasão e o roubo de fundos.
Indicadores de Comprometimento (IoCs)
As organizações devem monitorar os seguintes indicadores listados pela Google Cloud:
- Domínios: dontpad[.]com (exfiltração de segredos).
- URLs de Entrega: hxxps://procon[.]go[.]gov[.]br/ComprovantePDF[.]exe, hxxps://cmgovernadorluizrocha[.]ma[.]gov[.]br/Comprovantepdf[.]exe, hxxp://gcm[.]setelagoas[.]mg[.]gov[.]br/files/ti[.]zip.
- Arquivos Maliciosos: ComprovantePDF.exe, DnsCommandBeacon.class.