Breeze Comet lợi dụng hệ thống thanh toán tại Brazil để thực hiện giao dịch gian lận
"Breeze Comet, a financially motivated threat actor active since 2023-2024, has been targeting Brazilian financial, retail, and e-commerce organizations to manipulate payment systems and banking software for fraudulent transfers. The group uses password spraying, social engineering, vulnerable JBoss servers, RMM tools, custom malware, and cloud/AD reconnaissance to gain and maintain access; no specific software CVE is cited in the article, and mitigation focuses on hardening access controls, monitoring for RMM/web shell abuse, and protecting payment and cloud credentials."
Rủi ro cao đối với hệ thống thanh toán, thông tin xác thực cloud/AD và quyền giao dịch tài chính; có thể dẫn đến chuyển tiền gian lận và duy trì truy cập trái phép trong thời gian dài.
Có thể gây thiệt hại tài chính trực tiếp, gián đoạn xử lý giao dịch và phát sinh chi phí ứng phó sự cố; các đơn vị bán lẻ, fintech và nhà cung cấp phần mềm ngân hàng chịu ảnh hưởng đáng kể.
Nhóm đe dọa tài chính Breeze Comet (trước đây là UNC5669) đã nhắm vào các tổ chức tài chính, bán lẻ và thương mại điện tử tại Brazil từ năm 2024, với mục tiêu thao túng phần mềm ngân hàng và hệ thống thanh toán để thực hiện chuyển tiền gian lận. Theo các nhà nghiên cứu, nhóm này đã thực hiện thành công ít nhất một vụ chiếm đoạt tài sản trị giá hàng chục nghìn USD.
Chuỗi tấn công thường bắt đầu bằng password spraying, mạo danh bộ phận IT qua cuộc gọi hoặc nhắn tin để dụ cài RMM tools như AnyDesk, hoặc khai thác các máy chủ JBoss AS dễ bị tổn thương để triển khai web shell. Sau khi có quyền truy cập, nhóm tiến hành trinh sát Active Directory, môi trường cloud, và sử dụng các công cụ như Impacket, ADRecon, ADVipscan cùng backdoor tùy biến để mở rộng kiểm soát.
Breeze Comet tập trung vào các tổ chức có quyền giao dịch qua Pix, STR và Boleto, đồng thời tìm cách duy trì hiện diện bằng malware và proxy/tunneling như COBALTSPIN. Khuyến nghị kỹ thuật gồm siết chặt xác thực đa yếu tố, giám sát việc cài đặt RMM, phát hiện web shell và lưu lượng RDP/SMB bất thường, bảo vệ mTLS credentials và thông tin đăng nhập cloud/AD, đồng thời rà soát quyền truy cập vào RSFN và quy trình xử lý giao dịch.