Notícia
Grupo hacker BREEZE COMET usa malware assistido por IA para atacar bancos brasileiros
Rodrigo ColissiResumo: o grupo hacker BREEZE COMET invade instituições financeiras brasileiras e executa transferências fraudulentas pelos canais legítimos (Pix, STR e boleto) usando malware customizado e IA generativa. A seguir, a cadeia de ataque completa e como se proteger.
Introdução
Pesquisadores do Google Cloud Threat Intelligence (equipe de inteligência de ameaças do Google) revelaram que um grupo cibercriminoso chamado BREEZE COMET — antigo UNC5669 — vem invadindo bancos, processadoras de pagamento, fintechs e varejistas brasileiros para executar transferências fraudulentas pelos canais financeiros legítimos, como Pix (sistema de pagamentos instantâneos do Banco Central — autoridade monetária brasileira), STR (Sistema de Transferência de Reservas, usado em transferências entre instituições financeiras) e boleto (método de pagamento amplamente usado no Brasil). Desde 2024, o grupo executou ao menos um golpe de dezenas de milhares de dólares, e os relatórios indicam expansão para outros países da América Latina e África.
O alvo: o sistema financeiro brasileiro
O BREEZE COMET não ataca contas de pessoas físicas: o alvo são as organizações autorizadas a enviar transações pela Rede Nacional do Setor Financeiro (RSFN). Para isso, o grupo precisa de:
- Acesso à RSFN por meio de uma entidade autorizada;
- Credenciais mTLS (autenticação mútua por certificado digital usada entre sistemas financeiros) para enviar ordens de pagamento ao Pix, STR ou boleto;
- Acesso persistente a múltiplas contas no Active Directory e/ou na nuvem da vítima;
- Conhecimento dos processos de transferência, controles de rede e sistemas antifraude da organização.
Com esse acesso, o grupo envia ordens de transferência em nome da própria instituição, passando pelos mecanismos legítimos de pagamento.
Técnicas e ferramentas utilizadas
O grupo agia em 5 etapas, começando pelo acesso inicial à rede até efetivar o golpe financeiro. Abaixo, apresentamos a linha do tempo em que os fatos ocorreram e detalhamos as técnicas e ferramentas utilizadas em cada etapa.
Cadeia de ataque do BREEZE COMET
Linha do tempo da operação
Acesso inicial
O primeiro passo é o acesso inicial: o BREEZE COMET usa várias técnicas de entrada:
- Password spraying (tentativa de um mesmo conjunto de senhas fracas em muitas contas) em portais expostos;
- Vishing — chamadas de voz se passando pelo suporte de TI — para convencer funcionários a instalar ferramentas de acesso remoto como AnyDesk (software utilizado para acesso remoto);
- Sites de prefeituras comprometidos (no Brasil e depois em Nigéria, Paraguai, Gana e Venezuela) hospedando malware disfarçado de documentos fiscais, como o ComprovantePDF.exe, e o backdoor XWORM;
- Hardware rogue — dispositivos físicos conectados sem autorização — em redes de lojas de varejo, usados como porta de entrada para a rede interna; a partir daí, o grupo baixou o utilitário Netcat com scripts customizados para puxar frameworks de pós-exploração;
- Exploração de servidores JBoss vulneráveis, com o Shodan (motor de busca de dispositivos expostos na internet) usado para mapear a superfície de ataque das vítimas.
Escalação de privilégios e reconhecimento
Em seguida, já dentro da rede, o grupo usa ferramentas públicas como Impacket, ADRecon e ADVipscan — muitas vezes baixadas do GitHub e executadas em memória via PowerShell para escapar da detecção — além do utilitário customizado REALBREEZE, que força senhas via brute-force no LDAP (protocolo de diretórios do Active Directory).
O grupo também minera ambientes de CI/CD (integração e entrega contínuas) em busca de credenciais de pipeline, chaves de API, tokens de nuvem, certificados e material mTLS. Scripts customizados varrem arquivos e variáveis de ambiente procurando termos como "boleto", "cnab", "remessa", "webhook.*pix" e "instant.*payment".
Movimentação lateral
Depois, para navegar entre sistemas segmentados sem disparar firewalls internos, o grupo usa o COBALTSPIN, um túnel escrito em Rust que cria um proxy reverso SOCKS5 sobre WebSocket — uma conexão persistente que atravessa o firewall carregando tráfego de rede interno para o servidor de comando e controle (C2). Também usa RDP com contas de serviço sequestradas e execução de comandos via SMB.
Persistência: quatro backdoors sob medida
Para manter o acesso, o BREEZE COMET desenvolveu backdoors redundantes:
| Backdoor | Linguagem | Função |
|---|---|---|
| LIGHTPAINT | Java | Instala uma VPN legítima (SoftEther) e configura persistência automática, adicionando regras no firewall do Windows e apagando logs da VPN |
| MILDFROST | Java | Backdoor passivo dentro do processo da JVM; usa tunelamento DNS como canal de C2 reserva |
| KICKPLATE | Nim | Se disfarça de Windows Update Health Tools; controla tuneleiros SOCKS5, altera chaves de registro e serviços |
| BOATBEAM | Golang | Inicia um falso servidor IIS HTTPS na porta 443, escondendo o tráfego de C2 atrás de um servidor web legítimo |
O grupo ainda implanta pods maliciosos no Kubernetes para roubar segredos da nuvem, exfiltrados para sites públicos de anotações como dontpad.com, e desativa o Windows Defender em hosts comprometidos via PowerShell:
# Comando observado para desativar a proteção em tempo real do Windows Defender
Set-MpPreference -DisableRealtimeMonitoring $trueIA generativa acelerando o ataque
Por fim, a equipe de pesquisa encontrou evidências de que o grupo usa grandes modelos de linguagem (LLMs) para gerar scripts de reconhecimento de rede, validação de credenciais, implantação em massa e extração de dados. Os scripts recuperados são altamente funcionais, mas "sem idiossincrasias humanas": estruturas repetitivas, comentários verbosos e cabeçalhos padronizados — um sinal clássico de código gerado por IA. A Trend Micro (empresa de cibersegurança), que rastreia a operação como SHADOW-AETHER-064, documentou o uso de agentes de IA (inclusive o Claude, da Anthropic) para executar comandos em servidores comprometidos — o chamado "vibe hacking".
Um exemplo recuperado pelos pesquisadores mostra a assinatura típica de script gerado por IA — comentários em português e estrutura padronizada:
#!/bin/bash
# RODA DENTRO DO 10.0.9.9 - DIRETO NA REDE INTERNA
echo "### STEP 1: ENUM ALL LINUX (SSH PORT 22) ###"
> /tmp/ssh_open.txtNa prática, a IA encurta o tempo entre o primeiro acesso e o golpe: em um caso documentado, o grupo levou apenas 24 a 48 horas entre obter acesso aos aplicativos financeiros e executar duas ondas com centenas de transações fraudulentas, apagando logs e deletando diretórios em seguida.
Como identificar o ataque (IOCs)
Arquivos (hashes SHA-256)
| Hash | Ferramenta |
|---|---|
| 3b22605244dbace8f0c07c2c599f88c4b831bb07e9998b869a5da2759d27ceec | COBALTSPIN |
| 2214907e696bad85bde1d90c943ef66e413d7a5c6d7596ced25b74441200439a | REALBREEZE |
| c0db6ddd6222d02ad7490399d33c61ded0076f0037409dc8498924458646d78a | MILDFROST |
| 6d4012e0dd3b56a3e52857734fa0d582cdf3c56f0e5decc8005c882d1d1c6ceb | BOATBEAM |
| f139b4ca15feffb7a6633ec1a431c5c604b397576b56b5c863ae8fe4fa14db4f | KICKPLATE |
| 51fdd83b3737add7f3832bd0ad0b56863c0a8f7cf9bcc16fd787d1ae4b403ce6 | XWORM |
Domínios comprometidos usados como servidores de entrega
| Domínio | Observação |
|---|---|
| suporte.camaratunapolis.sc.gov.br | Site de prefeitura BR comprometido |
| suporte.ourinhos.sp.gov.br | Site de prefeitura BR comprometido |
| servicos.salto.sp.gov.br | Site de prefeitura BR comprometido |
| www.mrtb.gov.ng | Nigéria |
| credeb.gov.gn | Guiné |
| sit.baer.gob.ve | Venezuela |
| jmcov.gov.py | Paraguai |
Exfiltração
- dontpad.com — site público de anotações usado para exfiltrar segredos.
A coleção completa de IOCs está disponível no VirusTotal (coleção GTI).
Como se proteger
Controle de aplicação. Bloqueie execução em diretórios graváveis pelo usuário (%APPDATA%, ~/Downloads, /tmp) com WDAC, Gatekeeper ou fapolicyd; monte /tmp e /home com noexec.
Bloqueie RMM não aprovados. Audite o inventário de software e alerte sobre instalação de ferramentas de acesso remoto; treine a equipe contra vishing (chamadas falsas de TI).
Endureça a rede física. Implante 802.1X (NAC), desative portas de switch não usadas, limite endereços MAC e proteja racks — isso impede hardware rogue em lojas e filiais.
Fortaleça o Active Directory. MFA phishing-resistant em todos os portais externos, lockout de contas, restrinja utilitários administrativos (ntdsutil, vssadmin) e habilite PowerShell Constrained Language Mode, Script Block Logging e AMSI.
Controle o tráfego de saída. Faça inspeção TLS/DPI, bloqueie ICMP e tuneleiros (Chisel, GSocket) e segmente SMB/RDP entre estações e servidores.
Proteja a nuvem e o Kubernetes. RBAC com least privilege, bloqueie containers privilegiados, aplique políticas de egress e use um gerenciador de segredos (ex: Vault) — nunca chaves em código ou variáveis de ambiente.
Microsegmente os sistemas financeiros. Acesso administrativo somente via jump hosts dedicados com PAM (privileged access management).
Monitore ativamente. PowerShell anômalo, novos serviços, mudanças de startup, tunelamento DNS, sessões RDP inesperadas, acesso a APIs de pagamento e tráfego de proxy não usual. Ao detectar, isole os hosts e preserve os logs para investigação.
Conclusão
O BREEZE COMET representa uma mudança de patamar no crime cibernético brasileiro: em vez de fraudar clientes em massa, o grupo invade a própria infraestrutura que move o dinheiro e usa os canais legítimos de pagamento para transferir valores — com a IA generativa encurtando o tempo entre o acesso inicial e o golpe. Para instituições financeiras, fintechs e varejo, a defesa exige combinar controle de aplicações, hardening de rede e nuvem, MFA phishing-resistant e monitoramento ativo de movimentações fora do padrão. A boa notícia é que, como mostram os relatórios, um ambiente com fundamentos de segurança sólidos ainda faz o ataque falhar — inclusive contra adversários assistidos por IA.
Perguntas frequentes
O que é o BREEZE COMET?
É um grupo hacker de motivação financeira, antes rastreado como UNC5669, que desde 2024 invade instituições financeiras brasileiras para executar transferências fraudulentas pelos canais legítimos de pagamento, como Pix, STR e boleto.
Como o grupo invade os bancos?
O BREEZE COMET combina várias técnicas: password spraying, ligações se passando por suporte de TI (vishing), sites de prefeituras comprometidos para hospedar malware e até dispositivos físicos conectados a redes de lojas. Depois, escala privilégios e usa túneis e backdoors customizados até conseguir enviar transferências em nome da instituição.
O que é "malware assistido por IA"?
O grupo usa grandes modelos de linguagem (LLMs) para gerar scripts de reconhecimento de rede, validação de credenciais e implantação em massa. A IA acelera o trabalho, mas não substitui a operação criminosa: é uma ferramenta de apoio que reduz o tempo entre o acesso inicial e o golpe.
Minha conta bancária pessoal corre risco?
O alvo do grupo são as instituições financeiras (bancos, processadoras, fintechs), não contas de pessoas físicas diretamente. O golpe é executado pelas próprias instituições comprometidas, então o risco para o cliente final vem da exposição dos dados da instituição, não de um ataque direto à sua conta.
Como saber se minha instituição foi afetada?
Os relatórios do Google e da Trend Micro não divulgam a lista de vítimas. As organizações afetadas foram notificadas pelos pesquisadores. Para investigar, é possível procurar os indicadores de comprometimento (IOCs) publicados — hashes de arquivos, domínios e IPs — nos logs da própria empresa.
O que fazer se minha empresa foi comprometida?
Isole os hosts afetados, preserve os logs, troque todas as credenciais (incluindo mTLS e chaves de nuvem), revogue tokens suspeitos e acione uma equipe de resposta a incidentes. Os IOCs e as mitigações do relatório do Google ajudam na investigação e na contenção.
O Pix é seguro?
Sim. O ataque não explora uma falha do Pix em si, e sim as credenciais e a infraestrutura das instituições autorizadas a enviar transações. As medidas de segurança do Banco Central e das instituições seguem valendo — o caso reforça a necessidade de as organizações endurecerem suas próprias defesas.
Fontes e leituras adicionais
- Google Cloud Threat Intelligence / Mandiant — Financially Motivated Threat Actor BREEZE COMET Targets Brazil — 01/09/2026
- Trend Micro (TrendAI Research) — Vibe Hacking: Two AI-Augmented Campaigns Target Government and Financial Sectors in Latin America — 11/05/2026
- The Hacker News — Breeze Comet Executes Hundreds of Fraudulent Transactions via Brazilian Payment Systems — 01/09/2026
- Cyber Security News — BREEZE COMET Hackers Use AI-Assisted Malware to Target Brazil Banks — 02/09/2026