Brasil: Breeze Comet atacou Pix

Google Threat Intelligence Group e Mandiant descrevem o Breeze Comet, também identificado como UNC5669 ou Plump Spider, como uma operação ativa ao menos desde 2024 contra organizações financeiras brasileiras com permissões transacionais sobre Pix, STR e Boleto. Segundo as investigações, o grupo realizou centenas de transações fraudulentas ao manipular diretamente a infraestrutura de pagamentos e depois apagou registros de eventos para encobrir a intrusão.

¿Cómo entró Breeze Comet en las redes financieras?

O acesso inicial mais recorrente combinou técnicas de identidade, fraude e exploração de software vulnerável. A campanha incluiu password spraying em credenciais corporativas, mensagens de WhatsApp que se passavam pelo suporte de TI para induzir a instalação de ferramentas de acesso remoto do tipo AnyDesk, exploração de servidores JBoss AS vulneráveis e uso de sites governamentais brasileiros comprometidos como ponto de staging para RMM, infostealers e backdoors.

Esse padrão aponta para uma operação que não depende de um único vetor. As fontes citadas pela Rootnotes.in, com base em relatórios do Google Threat Intelligence Group e da Mandiant, sustentam que a cadeia de intrusão mistura engenharia social com infraestrutura já comprometida para facilitar o movimento dentro de ambientes corporativos.

¿Qué herramientas usó para sostener el acceso?

O Breeze Comet manteve persistência com pelo menos quatro famílias de backdoors, entre elas LIGHTPAINT e MILDFROST. O LIGHTPAINT, escrito em Java, instala um túnel VPN SoftEther, enquanto o MILDFROST é um JAR passivo que implementa tunelamento por DNS.

A DarkReading acrescentou que o CobaltSpin funciona como um túnel de rede a partir de máquinas internas comprometidas até a infraestrutura de comando e controle. Esse desenho é pensado para atravessar segmentos fortemente isolados e firewalls típicos de redes financeiras, o que reforça a hipótese de que o objetivo era chegar a aplicações centrais de pagamentos e não se limitar ao roubo direto de credenciais de clientes.

¿Qué dicen otras campañas vinculadas al sector financiero brasileño?

O restante do material mostra um ecossistema mais amplo de intrusão, broker de acessos e fraude financeira no Brasil. A Mallory atribui o BraZetsu à operação criminosa Exilware e o descreve como um backdoor em Python usado como framework de broker de acesso inicial contra alvos financeiros e corporativos, com persistência e perfilamento de máquinas para venda em um mercado clandestino.

A Fenati acrescenta que o BraZetsu automatiza invasões com componentes de IA, infecta sistemas Windows e permite vender acesso remoto a máquinas no Brasil por valores em torno de R$ 30, pagos em criptomoedas. Em paralelo, o The Hacker News informou sobre um incidente contra uma instituição financeira brasileira em março de 2026, no qual o Slim Spider comprometeu servidores em nuvem para capturar chaves de custódia de criptomoedas e acessos a contas Pix, usando o backdoor MikeDor para exfiltrar informações e monitorar a atividade dos usuários.

A Security Affairs, além disso, reportou o trojan bancário Coyote como um malware que rouba dados de mais de 70 aplicativos e sites financeiros brasileiros. No conjunto, as fontes disponíveis desenham campanhas ativas contra o setor financeiro do país, embora não identifiquem vítimas locais em todos os casos nem detalhem o alcance completo de cada incidente.