Hackers invadem empresas brasileiras e fazem centenas de transações fraudulentas via Pix

O grupo de cibercrime Breeze Comet, anteriormente identificado como UNC5669, vem atacando organizações brasileiras dos setores financeiro, varejista e de comércio eletrônico desde 2024, com foco em comprometer sistemas de pagamento e softwares bancários para realizar transferências fraudulentas. A atividade já resultou em pelo menos um roubo avaliado em dezenas de milhares de dólares.

Segundo o Google Threat Intelligence Group (GTIG) e a Mandiant, o grupo se especializou em manipular a infraestrutura financeira utilizada por organizações brasileiras. A atividade apresenta sobreposição com grupos rastreados pela CrowdStrike e Trend Micro como Plump Spider e SHADOW-AETHER-064. A CrowdStrike avalia que os operadores atuam a partir do Brasil e estão ativos desde setembro de 2023.

O acesso inicial pode ocorrer por meio de password spraying, técnica que testa senhas comuns contra várias contas, ou por engenharia social. Em algumas campanhas, os invasores telefonam para funcionários se passando por equipes de suporte de TI e tentam convencê-los a instalar ferramentas de Remote Monitoring and Management (RMM), como o AnyDesk.

Em um caso analisado pela Axur em 2025, os responsáveis pela campanha utilizaram uma conversa pelo WhatsApp para se passar pelo suporte técnico e orientar a vítima a executar um script de reconhecimento em PowerShell, apresentado como parte de uma atualização de aplicativo corporativo. O grupo também explorou servidores JBoss AS vulneráveis para instalar web shells e posteriormente distribuir ferramentas como Chisel e outros proxies.

Os principais alvos são organizações autorizadas a realizar operações por meio de softwares bancários, APIs e sistemas de pagamento, incluindo Pix, Sistema de Transferência de Reservas (STR) e boleto. Bancos, processadores de pagamento, fintechs, varejistas, exchanges e fornecedores de software bancário aparecem entre os possíveis alvos.

Para realizar as fraudes mais avançadas, o Breeze Comet precisa obter acesso à Rede do Sistema Financeiro Nacional (RSFN) por meio de uma organização conectada à infraestrutura, além de comprometer credenciais mTLS utilizadas para autenticar ordens transacionais destinadas ao Pix ou STR. O grupo também busca contas em ambientes Active Directory e cloud e precisa compreender os processos internos de transferência, controles de rede, integrações com fintechs e mecanismos antifraude da vítima.

A investigação também identificou o uso de sites brasileiros legítimos comprometidos, incluindo páginas de pequenos órgãos públicos, para hospedar ferramentas RMM, infostealers disfarçados de documentos fiscais e backdoors como XWorm. Esses domínios também são empregados como infraestrutura de comando e controle para tentar contornar mecanismos de reputação. Técnicas semelhantes foram observadas na Nigéria, Paraguai, Gana e Venezuela.

Em outros incidentes, dispositivos físicos maliciosos foram conectados diretamente às redes de lojas para estabelecer um ponto de entrada. A partir daí, os invasores realizaram movimentação lateral e utilizaram ferramentas como Netcat, Impacket, ADRecon e ADVipscan, além do REALBREEZE, um utilitário personalizado para ataques de força bruta contra LDAP.

Entre as ferramentas desenvolvidas pelo grupo está o COBALTSPIN, malware escrito em Rust utilizado como túnel de rede. O software cria um proxy SOCKS5 reverso sobre WebSocket, permitindo encaminhar tráfego entre a infraestrutura de comando e controle e sistemas internos comprometidos, inclusive através de firewalls de perímetro.

Os mecanismos de persistência também evoluíram. Em 2024, o grupo utilizava principalmente ferramentas RMM comerciais. Posteriormente, passou a implantar pods Kubernetes maliciosos, roubar secrets de ambientes cloud e exfiltrá-los para serviços públicos de anotações. A campanha também empregou diferentes backdoors, entre eles LIGHTPAINT, MILDFROST, KICKPLATE e BOATBEAM.

O LIGHTPAINT é um backdoor baseado em Java utilizado para instalar e configurar a VPN SoftEther, enquanto o MILDFROST estabelece túneis DNS encobertos. Já o KICKPLATE, desenvolvido em Nim, se disfarça como Windows Update Health Tools e pode entregar payloads adicionais e controlar túneis SOCKS5. O BOATBEAM, escrito em Golang, cria um falso servidor HTTPS do IIS na porta 443. Para dificultar a detecção, os invasores também executam comandos PowerShell destinados a desativar o monitoramento em tempo real do Windows Defender.

Na etapa final da invasão, contas privilegiadas comprometidas e o COBALTSPIN são usados para acessar aplicações financeiras centrais e executar centenas de transações fraudulentas. Depois das operações, o grupo apaga logs de eventos e diretórios utilizados durante o ataque para reduzir evidências forenses e esconder interações realizadas com APIs e sistemas de pagamento.

Os pesquisadores também encontraram indícios de que grandes modelos de linguagem podem estar sendo utilizados para acelerar o desenvolvimento das ferramentas do Breeze Comet. Scripts analisados apresentavam comentários explicativos detalhados, cabeçalhos padronizados e descrições de processos de raciocínio e tomada de decisão autônoma.

Para o Google, as operações representam uma mudança importante no cenário de cibercrime latino-americano: em vez de fraudes bancárias de grande volume contra usuários finais, os invasores estão buscando acesso direto à infraestrutura central responsável por transferências e pagamentos instantâneos. A possibilidade de expansão da infraestrutura do grupo para outros países da América Latina e da África também está sendo acompanhada.