BREEZE COMET attacca il sistema finanziario brasiliano con malware e AI

🛡️ Executive Summary

• BREEZE COMET compromette banche, fintech e processori per raggiungere direttamente Pix, STR, Boleto e le infrastrutture finanziarie brasiliane.
• Il gruppo combina XWorm, COBALTSPIN e quattro backdoor custom con furto di credenziali mTLS, movimento laterale e accessi cloud persistenti.
• Google raccomanda MFA resistente al phishing, NAC 802.1X, segmentazione, controllo degli RMM, hardening Kubernetes e gestione centralizzata dei segreti.

BREEZE COMET, precedentemente tracciato come UNC5669, sta trasformando la frode bancaria brasiliana in un’operazione contro l’infrastruttura finanziaria vera e propria. Il Google Threat Intelligence Group e Mandiant descrivono un attore economicamente motivato capace di compromettere banche, fintech, processori di pagamento, retailer ed exchange per raggiungere sistemi autorizzati a effettuare transazioni attraverso Pix, STR e Boleto. La campagna combina social engineering, infrastrutture governative compromesse, XWorm, malware proprietari, furto di certificati mTLS, movimento laterale e persistenza in ambienti cloud. A rendere l’operazione ancora più significativa è l’impiego documentato di LLM per accelerare ricognizione, validazione delle credenziali e sviluppo degli strumenti utilizzati durante le intrusioni.

BREEZE COMET non ruba soltanto credenziali ma punta al cuore dei pagamenti

Le operazioni osservate da Mandiant a partire dal 2024 segnano un salto rispetto alla tradizionale frode bancaria latinoamericana basata sulla compromissione del singolo cliente. Secondo l’analisi pubblicata dal Google Threat Intelligence Group, BREEZE COMET cerca organizzazioni che possiedono già il diritto tecnico di impartire ordini ai sistemi finanziari brasiliani. L’obiettivo è ottenere accesso alla Rede Nacional do Setor Financeiro, impadronirsi di certificati e credenziali mTLS utilizzabili per autenticare richieste verso Pix, il sistema STR e altri listener transazionali, mantenere account persistenti in Active Directory e nel cloud e comprendere nei dettagli i processi antifrode della vittima. È una strategia che avvicina l’attaccante al livello infrastrutturale del pagamento: non occorre più convincere migliaia di clienti a eseguire singole operazioni quando una compromissione sufficientemente profonda può consentire di manipolare direttamente i sistemi autorizzati a trasferire denaro. Una logica analoga di controllo della transazione era già emersa con SCMBanker e le piattaforme criminali capaci di intervenire durante le sessioni bancarie, ma BREEZE COMET sposta ulteriormente il baricentro verso software bancario, API e infrastrutture di pagamento. Google collega inoltre l’attività a cluster pubblicamente descritti come Plump Spider e SHADOW-AETHER-064, senza ridurre il gruppo a una singola famiglia malware.

Dalle telefonate del falso supporto IT a XWorm sui siti governativi compromessi

L’accesso iniziale mostra una notevole capacità di adattamento. Nelle prime intrusioni BREEZE COMET ha utilizzato password spraying e telefonate nelle quali gli operatori impersonavano il supporto informatico, convincendo i dipendenti a installare strumenti RMM come AnyDesk. Dal 2025 il gruppo ha iniziato a sfruttare anche siti governativi brasiliani compromessi per ospitare software di amministrazione remota, infostealer mascherati da ricevute o documenti fiscali e payload XWorm. File con nomi come ComprovantePDF.exe venivano distribuiti attraverso domini apparentemente affidabili, permettendo agli attaccanti di sfruttare la reputazione dei siti .gov.br per ridurre l’efficacia dei filtri basati sul dominio. XWorm resta una componente particolarmente utile perché consente accesso remoto, esecuzione di comandi e controllo dell’endpoint; la stessa famiglia è comparsa anche in catene multi-stage come Voidgeist, dove RAT differenti vengono caricati direttamente in memoria. GTIG ha osservato infrastrutture analoghe anche in Nigeria, Paraguay, Ghana e Venezuela, elemento che suggerisce almeno un’estensione geografica dello staging e potenzialmente dell’interesse operativo. In alcuni negozi gli attaccanti sono arrivati inoltre a collegare dispositivi hardware non autorizzati direttamente alla rete, trasformando la sicurezza fisica delle filiali in una componente della superficie d’attacco.

Leggi anche: Google cambia la tassonomia degli attori cyber e sostituisce le vecchie sigle UNC con nuovi nomi operativi

Credenziali CI/CD, Active Directory e COBALTSPIN aprono la strada ai sistemi finanziari

Una volta stabilito il primo foothold, BREEZE COMET passa alla ricerca sistematica delle credenziali necessarie per avvicinarsi ai sistemi di pagamento. Il gruppo utilizza strumenti come Impacket, ADRecon e ADVipscan, spesso scaricati da repository pubblici ed eseguiti in memoria tramite PowerShell, insieme alla utility proprietaria REALBREEZE per operazioni LDAP e brute force. L’attenzione non si ferma ad Active Directory: gli operatori analizzano pipeline CI/CD, variabili d’ambiente e repository per estrarre credenziali hard-coded, chiavi API, token cloud ad alto privilegio, certificati amministrativi e materiale mTLS. Le ricerche osservate da Mandiant utilizzavano termini direttamente collegati alla logica finanziaria, tra cui boleto, cnab, remessa, webhook.*pix e instant.*payment. Per muoversi internamente vengono sfruttati account di servizio compromessi, sessioni RDP e condivisioni SMB, ma il componente più caratterizzante è COBALTSPIN, tunneler scritto in Rust che crea un reverse proxy SOCKS5 su WebSocket e permette di instradare traffico attraverso reti segmentate verso le infrastrutture delle API finanziarie. La combinazione tra furto delle identità tecniche e pivoting automatizzato ricorda l’evoluzione osservata con RedC2 e l’automazione del credential theft e del movimento tra sistemi compromessi, ma qui il fine ultimo è chiaramente transazionale.

LIGHTPAINT, MILDFROST, KICKPLATE e BOATBEAM costruiscono una persistenza ridondante

Tra 2025 e 2026 Mandiant ha identificato un ecosistema proprietario pensato per evitare che la perdita di un singolo canale di comando interrompa l’operazione. LIGHTPAINT, sviluppato in Java, installa VPN legittime come SoftEther, modifica le regole di Windows Defender Firewall e cancella specifici eventi per ridurre le tracce forensi. MILDFROST, anch’esso Java, si nasconde nello spazio di esecuzione della JVM e utilizza tunnel DNS come canale C2 di riserva. KICKPLATE, sviluppato in Nim e mascherato da Windows Update Health Tools, controlla tunneler SOCKS5, chiavi di avvio e servizi Windows, affiancando attività tramite task pianificati eseguiti come SYSTEM e collegamenti .lnk nelle cartelle Startup. BOATBEAM, scritto in Go, crea invece un falso server IIS HTTPS sulla porta 443 e abilita le funzionalità della backdoor soltanto alla ricezione di uno specifico cookie di sessione. Il gruppo ha utilizzato inoltre pod Kubernetes malevoli per mantenere accesso, sottrarre segreti cloud ed esfiltrarli verso servizi pubblici di appunti. Questa ridondanza dimostra che la componente malware non è un semplice insieme di payload intercambiabili: costituisce un’architettura operativa progettata per continuare a funzionare anche quando singoli strumenti vengono scoperti o neutralizzati.

Gli LLM comprimono i tempi di sviluppo e rendono più veloce l’intero attacco

Google attribuisce particolare importanza alle evidenze dell’impiego di modelli linguistici di grandi dimensioni da parte di BREEZE COMET. Mandiant ha recuperato script altamente personalizzati utilizzati per scansione delle reti, verifica delle credenziali, deployment su larga scala, pivoting specifico per la vittima ed estrazione dei dati. Il codice presentava caratteristiche compatibili con sviluppo assistito da LLM, tra cui strutture molto esplicite, commenti particolarmente verbosi e header di esecuzione standardizzati. Il punto non è quindi l’esistenza di un ipotetico malware completamente autonomo generato dall’AI, che il report non sostiene, ma la possibilità per gli operatori di ridurre il tempo necessario a creare e modificare strumenti operativi durante una compromissione reale. È la stessa traiettoria già emersa nelle analisi sulle capacità dell’AI di accelerare sviluppo di malware, ricerca delle vulnerabilità e automazione delle operazioni offensive. Nel caso di BREEZE COMET, però, gli script generati o assistiti dall’AI vengono coordinati con componenti proprietari scritti in Rust, Nim, Java, C++ e Go, indicando una maturità tecnica che non dipende esclusivamente dagli LLM. L’AI diventa un moltiplicatore della velocità operativa: riduce il ciclo sviluppo-test-deployment e permette di adattare più rapidamente gli strumenti a reti differenti.

Centinaia di transazioni in 24-48 ore e una difesa che deve partire dagli accessi

L’obiettivo finale resta il denaro. Le evidenze forensi esaminate da Mandiant mostrano che, dopo aver raggiunto applicazioni finanziarie centrali attraverso COBALTSPIN e account privilegiati compromessi, BREEZE COMET ha eseguito entro 24-48 ore due ondate composte da centinaia di transazioni fraudolente. Google conferma almeno un furto riuscito nell’ordine delle decine di migliaia di dollari, ma il valore strategico della campagna supera l’importo del singolo incidente: il gruppo dimostra che un attore criminale può tentare di trasformare la compromissione di identità tecniche, pipeline e sistemi cloud in accesso diretto al meccanismo che autorizza il trasferimento dei fondi. Le difese indicate da GTIG riflettono questa profondità: application control per impedire RMM non autorizzati, 802.1X NAC sulle porte fisiche, MFA resistente al phishing, PowerShell Constrained Language Mode e logging dell’Event ID 4104, segmentazione di SMB e RDP, controllo dell’egress, RBAC a privilegio minimo e Pod Security Admission negli ambienti Kubernetes. Per chiavi, certificati e token viene raccomandato l’uso di un Secrets Manager centralizzato, accompagnato da microsegmentazione Layer 7 e accessi amministrativi tramite jump host e PAM. La presenza ricorrente di XWorm rende inoltre utile il confronto con le campagne italiane di agosto nelle quali RAT e infostealer hanno continuato a sfruttare documenti, archivi e impersonificazione istituzionale. Google ha pubblicato anche hash, indicatori di rete e regole YARA per COBALTSPIN, REALBREEZE, MILDFROST, KICKPLATE, BOATBEAM e XWorm.

Continua con:

• DeepSeek automatizza scansioni ed exploit in una campagna cyber reale
• UNC3753 usa vishing e strumenti RMM per comprimere un’intrusione in poche ore

BREEZE COMET mostra il passaggio dalla frode bancaria alla compromissione infrastrutturale

Il caso brasiliano indica una trasformazione importante del cybercrime finanziario latinoamericano. La frode di massa contro il cliente finale non scompare, ma accanto a essa emerge un modello nel quale l’attaccante investe tempo per comprendere l’architettura dell’organizzazione, rubare identità tecniche, attraversare segmentazioni di rete, raggiungere le API e infine impartire ordini attraverso sistemi già autorizzati. BREEZE COMET dispone di una catena completa: social engineering e accesso fisico per entrare, XWorm e RMM per stabilire il foothold, REALBREEZE per le credenziali, COBALTSPIN per il tunneling, backdoor ridondanti per la persistenza e LLM per comprimere i tempi di sviluppo degli strumenti. Google ritiene che questa struttura possa diventare un modello replicabile anche oltre il Brasile, soprattutto in ecosistemi finanziari fortemente interconnessi. Per banche, fintech e processori di pagamento il problema non è quindi soltanto rilevare il malware sull’endpoint: diventa essenziale proteggere certificati mTLS, account di servizio, pipeline CI/CD, cluster Kubernetes e percorsi di amministrazione come parti dello stesso perimetro finanziario.