BREEZE COMET: análise técnica do grupo que invade bancos brasileiros com malware sob medida e IA

Resumo: BREEZE COMET — o grupo hacker que invade instituições financeiras brasileiras desde 2024 — combina malware sob medida (REALBREEZE, COBALTSPIN, LIGHTPAINT, MILDFROST, KICKPLATE e BOATBEAM) com scripts gerados por IA generativa para executar transferências fraudulentas pelos canais legítimos do Pix, STR e boleto. Neste artigo técnico, você vai percorrer a cadeia de ataque completa, entender o papel da IA na operação e conferir defesas práticas para instituições financeiras, fintechs e varejo.

Pré-requisitos

Para acompanhar esta análise com profundidade, você vai precisar de:

• Conhecimento básico de redes TCP/IP, Active Directory (serviço de diretório da Microsoft usado para autenticação e autorização em redes Windows) e de ambientes Linux e Windows corporativos;
• Familiaridade com o ecossistema de pagamentos brasileiro: Pix, STR, boleto e RSFN (Rede Nacional do Setor Financeiro, a infraestrutura que interliga instituições financeiras no país);
• Ferramentas de análise de malware e tráfego, como YARA (linguagem de regras para identificar amostras de malware por padrões), Wireshark (analisador de tráfego de rede) e Sysmon (ferramenta de monitoramento avançado do Windows);
• Como contexto introdutório, leia a notícia Grupo hacker BREEZE COMET usa malware assistido por IA para atacar bancos brasileiros, que resume a operação para quem está chegando agora ao tema.

Passo a passo: a cadeia de ataque em ação

Para entender a cadeia de ataque, é preciso conhecer o alvo: o núcleo de pagamentos brasileiro — Pix (sistema de pagamentos instantâneos do Banco Central — autoridade monetária brasileira), STR (Sistema de Transferência de Reservas, usado em transferências entre instituições) e boleto (método de pagamento amplamente usado no Brasil). O grupo não ataca contas de pessoas físicas: invade organizações autorizadas a enviar transações pela RSFN — bancos, processadoras de pagamento, fintechs, exchanges e varejistas. Para isso, ele precisa de acesso à RSFN, de credenciais mTLS (autenticação mútua por certificado digital usada para assinar as mensagens transacionais) e de persistência em múltiplas contas do Active Directory e da nuvem da vítima.

Acesso inicial: engenharia social e infraestrutura confiável comprometida

O primeiro passo varia conforme a vítima. Nos comprometimentos mais antigos, observados em 2024, o grupo usou password spraying (tentativa de login com senhas comuns em várias contas ao mesmo tempo) e chamadas de voz se passando por equipes de TI — o chamado vishing — para convencer funcionários a instalar ferramentas de acesso remoto como AnyDesk (software de acesso remoto amplamente usado no suporte técnico).

Em meados de 2025, o BREEZE COMET passou a usar sites de prefeituras brasileiras comprometidos para hospedar as cargas maliciosas: infostealers (malwares que roubam credenciais e dados) disfarçados de documentos fiscais, como o ComprovantePDF.exe, e o backdoor XWORM, disfarçado de atualização do sistema. O uso de domínios .gov.br comprometidos é estratégico: o tráfego para esses domínios costuma passar por filtros de reputação de rede, e o grupo também passou a replicar a tática em domínios municipais de Nigéria, Paraguai, Gana e Venezuela. Em paralelo, o grupo conectou hardware rogue (dispositivos físicos não autorizados) diretamente nas redes de lojas de varejo para entrar no ambiente corporativo, e explorou vulnerabilidades em servidores JBoss (plataforma de aplicações Java empresarial) para obter acesso inicial.

Escalação de privilégios e reconhecimento interno

Em seguida, já dentro da rede, o grupo executa reconhecimento com utilitários públicos como Impacket (coleção de scripts Python para interagir com protocolos do Windows), ADRecon e ADVipscan, muitas vezes baixados do GitHub e executados em memória via PowerShell para escapar da detecção. O grupo também desenvolveu o REALBREEZE, um utilitário customizado de brute-force (tentativa exaustiva de senhas) no LDAP (protocolo de diretórios do Active Directory).

Um diferencial do BREEZE COMET é o foco em ambientes de desenvolvimento e nuvem: ele minera pipelines de CI/CD (integração e entrega contínuas, usadas para automatizar deploys) para roubar credenciais embutidas, chaves de API e tokens de acesso altamente privilegiados. Scripts customizados varrem arquivos de hosts e variáveis de ambiente atrás de credenciais mTLS e certificados administrativos para autenticar contra os sistemas bancários centrais — com termos de busca como "boleto", "cnab", "remessa", "webhook.*pix" e "instant.*payment".

Movimentação lateral através de redes segmentadas

Para atravessar redes financeiras segmentadas sem disparar firewalls internos, o grupo usa o COBALTSPIN, um túnel escrito em Rust que estabelece um proxy reverso SOCKS5 (protocolo que encaminha tráfego de rede de forma genérica) sobre WebSocket (protocolo de comunicação bidirecional sobre HTTP). O COBALTSPIN roteia o tráfego entre o servidor de comando e controle (C2) e os alvos internos, permitindo que a movimentação lateral continue mesmo contra firewalls de perímetro, sem depender de mecanismos de persistência embutidos que chamariam atenção. Para navegar entre hosts, o grupo abusa de protocolos padrão, sequestrando contas de serviço para iniciar sessões RDP (Remote Desktop Protocol, acesso remoto ao Windows) e executar comandos via SMB (protocolo de compartilhamento de arquivos da Microsoft).

Persistência com backdoors multi-linguagem

Por fim, para manter o acesso, o grupo implanta uma arquitetura redundante de backdoors em várias linguagens, projetada para sobreviver a reinicializações e a tentativas de remoção. O quadro completo está na seção de explicação técnica, mas vale destacar: backdoors em Java, Nim e Golang, túneis DNS, VPNs legítimas instaladas de forma automatizada e até pods maliciosos no Kubernetes (orquestrador de contêineres) para roubar segredos da nuvem — exfiltrados para sites públicos de anotações como o dontpad[.]com. O grupo ainda desativa o Windows Defender com comandos diretos do PowerShell e apaga logs de eventos para dificultar a investigação forense.

A execução da fraude em massa

Com acesso aos sistemas financeiros centrais via COBALTSPIN e contas privilegiadas, o grupo executa a missão final: entre 24 e 48 horas após estabelecer acesso aos aplicativos bancários, ele dispara duas ondas de centenas de transferências fraudulentas, usando os canais legítimos (Pix, STR e boleto) em nome da organização vítima. Em seguida, limpa os logs dos hosts comprometidos e apaga os diretórios criados durante a invasão. Segundo a Mandiant, o grupo já executou com sucesso pelo menos um golpe de dezenas de milhares de dólares.

Explicação técnica: TTPs, toolkit e o papel da IA

O toolkit sob medida

O BREEZE COMET evoluiu de um usuário de ferramentas comerciais de acesso remoto (RMM) para um desenvolvedor de malware multi-linguagem. A tabela abaixo resume as peças principais do arsenal, conforme a análise do Google Threat Intelligence Group (GTIG):

Além dos backdoors, o grupo usa ferramentas públicas de pós-exploração (Impacket, ADRecon, ADVipscan, Netcat) e abusa de mecanismos nativos do Windows, como tarefas agendadas executadas como SYSTEM e atalhos .lnk em pastas de inicialização, para reforçar a persistência.

O papel da IA generativa e da agentic AI

O uso de IA é um dos aspectos mais relevantes da operação. A Mandiant encontrou evidências de que o BREEZE COMET usa modelos de linguagem (LLMs) — os modelos por trás de assistentes como ChatGPT — para acelerar a criação de scripts de reconhecimento de rede, validação de credenciais, implantação em massa, pivôs específicos por vítima e extração de dados. Os scripts recuperados são altamente funcionais, mas carregam marcas típicas de geração por IA: falta de idiossincrasias humanas, estruturas de código "desenroladas", comentários explicativos verbosos e cabeçalhos de execução padronizados:

#!/bin/bash
# RODA DENTRO DO 10.0.9.9 - DIRETO NA REDE INTERNA
 
echo "###############################################"
echo "### STEP 1: ENUM ALL LINUX (SSH PORT 22) ###"
echo "###############################################"
 
# Scan SSH em todos os ranges conhecidos
echo "=== SCANNING SSH PORTS ==="
> /tmp/ssh_open.txt

O relatório da Trend Micro sobre a campanha SHADOW-AETHER-064 — apontada pelo GTIG como sobreposição ao BREEZE COMET — vai além: agentes de IA (agentes autônomos que executam ações em sequência para cumprir um objetivo) foram usados para varrer portas 443 e 8443, testar injeções SQL, estabelecer túneis SOCKS5, criar contas de serviço não autorizadas e modificar políticas de grupo no Active Directory. Esse fenômeno é chamado de vibe hacking: em vez de usar ferramentas prontas, o atacante pede que o agente gere ferramentas e scripts sob demanda, o que reduz a detecção por assinaturas conhecidas. O BREEZE COMET exemplifica como o crime organizado está operacionalizando IA para comprimir o ciclo de desenvolvimento de malware e coordenar ataques sincronizados em múltiplos ambientes ao mesmo tempo.

Sobreposições: Plump Spider e SHADOW-AETHER-064

A Mandiant aponta que a atividade do BREEZE COMET se sobrepõe a operações publicamente reportadas como Plump Spider (divulgada pela Axur, que também observou vishing e tentativas de recrutar insiders nas vítimas) e SHADOW-AETHER-064 (divulgada pela Trend Micro). O SHADOW-AETHER-064 compartilha com o grupo brasileiro o foco em instituições financeiras, o uso de túneis SOCKS5 customizados e a geração dinâmica de ferramentas — e, ao contrário da campanha irmã SHADOW-AETHER-040 (que mirava governos mexicanos e operava em espanhol), o SHADOW-AETHER-064 opera em português. A convergência dessas observações reforça a avaliação de que ataques assistidos por IA contra o setor financeiro latino-americano estão virando tendência.

Indicadores de comprometimento (IOCs)

A coleção completa de IOCs está publicada pelo GTIG em uma coleção no VirusTotal para usuários registrados. Abaixo, os principais indicadores de arquivo:

E os principais indicadores de rede (domínios comprometidos usados para hospedar malware):

Atenção: os domínios acima foram comprometidos por terceiros e usados como infraestrutura do grupo. Bloquear o domínio inteiro pode causar dano colateral a serviços legítimos — a prioridade deve ser monitorar o acesso a esses hosts e investigar qualquer execução dos binários listados.

Detecção com YARA

O GTIG publicou regras YARA públicas para caçar os artefatos do grupo. Um exemplo, para o brute-forcer REALBREEZE, com strings em português embutidas no binário:

rule M_Utility_REALBREEZE_2 {
    meta:
        author = "Google Threat Intelligence Group"
 
    strings:
        $s1 = "IP/REDE" wide
        $s2 = "SENHA" wide
        $s3 = "U\x00S\x00U\x00\xc1\x00R\x00I\x00O\x00:" wide
        $s4 = "Arquivo de Texto (*.txt)|*.txt" wide
        $s5 = "get_SamAccountName"
        $s6 = "get_txtHostname"
 
    condition:
        uint16(0) == 0x5A4D
        and all of them
}

Como se proteger

Controle de aplicação e bloqueio de RMM não autorizados. Imponha controle de aplicação — como WDAC no Windows, Gatekeeper/MDM no macOS ou fapolicyd no Linux — para bloquear execução em diretórios graváveis por usuário (como %APPDATA%, ~/Downloads e /tmp). Em hosts Linux, monte /tmp e /home com a flag noexec (que impede a execução de binários na partição) e audite o inventário de software para alertar sobre execução de ferramentas RMM portáteis e registro de serviços não autorizados.

Controle de acesso à rede e endurecimento físico de filiais. Implante 802.1X (autenticação por porta de rede) nas portas Ethernet físicas de filiais e lojas para impedir que dispositivos não autorizados obtenham IP ou comuniquem em sub-redes internas — resposta direta ao hardware rogue observado no varejo. Desative portas de switch não utilizadas, aplique limite de MAC e restrinja fisicamente o acesso a salas de rede e tomadas públicas.

Fortalecimento de Active Directory e credenciais. Restrinja utilitários administrativos como ntdsutil.exe e vssadmin.exe, e aplique o modo de linguagem restrita do PowerShell (Constrained Language Mode), o log de blocos de script (Event ID 4104) e a AMSI (Interface de verificação antimalware) para detectar execução em memória de scripts de reconhecimento. Exija MFA resistente a phishing (autenticação multifator à prova de golpes de interceptação) em todos os portais externos, com controles de bloqueio por tentativas.

Inspeção profunda de pacotes e controle de tráfego de saída. Não confie em listas de reputação ou allowlists de TLD .gov: faça descriptografia SSL/TLS e inspeção profunda de pacotes (DPI) no tráfego web de saída. Bloqueie portas e protocolos não essenciais de egresso, restrinja utilitários de tunelamento (como Chisel e GSocket) e segmente a rede para bloquear tráfego lateral SMB (porta 445) e RDP (porta 3389) entre estações e servidores.

Isolamento de workloads Kubernetes e nuvem. Aplique RBAC (controle de acesso baseado em papéis) com privilégio mínimo para contas de serviço no Kubernetes, bloqueie contêineres privilegiados com admission controllers (OPA Gatekeeper ou Kyverno) e aplique políticas de rede de egresso para impedir que pods acessem plataformas públicas não autorizadas — o grupo é ativo em roubar segredos da nuvem.

Gestão de segredos e microssegmentação dos sistemas financeiros. Adote um cofre de segredos centralizado (como HashiCorp Vault — ferramenta de gestão de segredos e chaves de acesso) com logging, elimine chaves em texto puro no código e implemente microssegmentação baseada em identidade (camada 7) para as workloads financeiras. Limite o acesso administrativo exclusivamente a jump hosts dedicados via PAM (gestão de acesso privilegiado).

Detecção específica para a cadeia de fraude. Monitore buscas anômalas em arquivos e variáveis de ambiente por termos como "boleto", "cnab", "remessa" e "pix", alertas de execução de PowerShell com download de conteúdo remoto, conexões DNS para sites de anotações (como dontpad), criação de túneis SOCKS5/WebSocket e acessos inesperados a aplicativos bancários centrais — o período de 24 a 48 horas entre o acesso e a onda de transferências é a janela de ouro para interromper a fraude.

Conclusão

O BREEZE COMET representa uma mudança de paradigma no cibercrime latino-americano: a transição da fraude bancária oportunista de varejo para intrusões diretas no núcleo do sistema financeiro — os switches de pagamento e a infraestrutura de pagamentos instantâneos. A combinação de malware customizado multi-linguagem, infraestrutura confiável comprometida (domínios .gov.br) e geração de código por IA mostra um grupo que comprime o ciclo de desenvolvimento e coordena ataques sincronizados em múltiplos ambientes.

Para o defensor, a lição é dupla: o perímetro tradicional — firewalls e antivírus — não é suficiente quando o atacante atravessa a rede via túneis evasivos e abusa de credenciais legítimas, e a janela de detecção é curta. Controle de aplicação, segmentação, microssegmentação dos sistemas de pagamento, gestão de segredos e monitoramento específico da cadeia transacional são as defesas com maior retorno. E a expansão da infraestrutura do grupo para outros países da América Latina e África indica que essa é uma ameaça em crescimento, não um episódio isolado.

Perguntas frequentes

Fontes e leituras adicionais

• Google Cloud Blog (Google Threat Intelligence Group / Mandiant) — Financially Motivated Threat Actor BREEZE COMET Targets Brazil — 01/09/2026
• The Hacker News — Breeze Comet Executes Hundreds of Fraudulent Transactions via Brazilian Payment Systems — 01/09/2026
• Trend Micro — Vibe Hacking: Two AI-Augmented Campaigns Target Government and Financial Sectors in Latin America — 11/05/2026
• Zero Day Security — Grupo hacker BREEZE COMET usa malware assistido por IA para atacar bancos brasileiros — 02/09/2026