BREEZE COMET атакует финансовый сектор Бразилии ради мошеннических переводов

BREEZE COMET, также отслеживаемый как UNC5669 и связанный с Plump Spider и SHADOW-AETHER-064, действует из финансовых мотивов. Группа нацеливается на бразильские банки, финтех-компании, розничных продавцов, биржи, платежные процессоры и поставщиков финансового программного обеспечения.

Злоумышленники компрометируют организации, способные инициировать транзакции через Pix, STR, Boleto, банковские API или бразильскую финансовую сеть. Их цель состоит в получении привилегированного доступа, учетных данных mTLS и информации о рабочих процессах обработки платежей. После этого группа проводит мошеннические переводы.

Способы первоначального доступа

BREEZE COMET использует распыление паролей, голосовой фишинг с имитацией службы технической поддержки и убеждение пользователей установить RMM-инструменты, включая AnyDesk.

Актор также применяет скомпрометированные муниципальные и государственные веб-сайты. Они используются для размещения:

программного обеспечения RMM;
инфостилеров, замаскированных под налоговые или кассовые документы;
бэкдоров XWORM.

В розничные сети злоумышленники напрямую подключали вредоносные аппаратные устройства и эксплуатировали уязвимости в серверах JBoss AS. Скомпрометированные государственные веб-сайты выполняли сразу две функции, служили площадками для размещения полезной нагрузки и инфраструктурой управления. Это помогает обходить фильтрацию на основе репутации доменов.

Разведка и поиск учетных данных

Для разведки и повышения привилегий BREEZE COMET использует Impacket, ADRecon, ADVipscan, PowerShell и собственный инструмент REALBREEZE для брутфорса LDAP.

Группа ищет учетные данные в файлах хостов, переменных окружения, системах CI/CD и облачных средах. В поле зрения злоумышленников попадают:

учетные данные для конвейеров;
API-ключи;
облачные токены;
административные сертификаты;
учетные данные mTLS.

Среди поисковых запросов встречаются упоминания boleto, CNAB, remessa, вебхуков Pix и мгновенных платежей.

Перемещение внутри сети и закрепление

Для перемещения внутри компании BREEZE COMET использует перехваченные учетные записи служб, RDP, SMB, сетевое сканирование и туннель COBALTSPIN на Rust. Инструмент создает обратный прокси SOCKS5 поверх WebSockets, что позволяет обходить сегментацию сети и получать доступ к финансовой инфраструктуре.

Закрепление обеспечивается с помощью коммерческих RMM-инструментов, вредоносных подов Kubernetes и нескольких кастомных бэкдоров.

В арсенал группы входят следующие инструменты:

LIGHTPAINT устанавливает и закрепляет соединения SoftEther VPN, изменяет правила файрвола и очищает журналы, связанные с VPN;
MILDFROST обеспечивает скрытую DNS-туннелизацию и резервный канал C2;
KICKPLATE управляет SOCKS5-туннелями, изменяет механизмы автозагрузки и службы;
BOATBEAM маскирует трафик C2 под HTTPS-сервер IIS.

Актор также злоупотребляет запланированными задачами и вредоносными ярлыками. Он отключает мониторинг в реальном времени Windows Defender, очищает журналы событий и удаляет каталоги, созданные в ходе атаки.

Мошеннические транзакции

После получения доступа к финансовым приложениям BREEZE COMET использует COBALTSPIN и привилегированные учетные записи для проведения волн из сотен мошеннических транзакций. Такие операции выполняются в течение 24–48 часов.