BRASILIEN / LONDON (IT BOLTWISE) – Ein auf Zahlungssysteme spezialisiertes Threat-Actor-Cluster soll seit 2024 im Umfeld brasilianischer Banken und Zahlungsanbieter aktiv sein. Laut Google Threat Intelligence Group und Mandiant konzentriert sich der Angreifer auf den Zugriff auf interne Zahlungsprozesse, um bei Pix- und STR-Orders betrügerische Transaktionen auszulösen. Der Einstieg erfolgt demnach häufig über Password Spraying und Social Engineering mit RMM-Tools wie AnyDesk. Zusätzlich deuten die Beobachtungen darauf hin, dass KI-gestützte Entwicklungsartefakte die Angriffsplanung beschleunigen sollen.
In der brasilianischen Cybercrime-Landschaft verschiebt sich das Angriffsziel spürbar: Statt bei klassischem, hochvolumigem Retail-Fraud nur auf Kundendaten oder Kartenmissbrauch zu setzen, dringen Akteure zunehmend in die Logik hinter Zahlungsflüssen ein. Genau diese Richtung beschreibt ein nachweislich auf Zahlungssysteme ausgerichtetes Cluster namens Breeze Comet, das von Google Threat Intelligence Group (GTIG) zusammen mit Mandiant-Teams seit 2024 beobachtet werde. Den Angaben zufolge soll der Angreifer „zahlreiche betrügerische Transaktionen“ über Zahlungs- und Bankensysteme in Brasilien durchgeführt haben, darunter mindestens ein Coup im Wert von mehreren Zehntausend US-Dollar. Damit wird der Fokus auf die Schnittstelle zwischen Identitäten, API-Integrationen und Transaktionsabwicklung gelegt – also dort, wo Fehler nicht nur einzelne Konten betreffen, sondern direkt die Zuordnung von Geldbewegungen im Kernsystem.
Technisch auffällig ist dabei, wie früh der Weg in die „operativen“ Bereiche eines Finanzdienstleisters führt. Für den initialen Zugriff auf Finanzinstitute und Unternehmen, die Zahlungsabwicklungsrechte besitzen, nennt die Darstellung zwei wiederkehrende Muster: Password Spraying und telefonische Kontaktaufnahme unter Imitation von IT-Support. Im Anschluss soll Social Engineering gezielt darauf abzielen, dass Opfer Remote Monitoring and Management (RMM)-Tools wie AnyDesk installieren. In einem hervorgehobenen Beispiel soll der Angreifer sich in einem WhatsApp-Chat als IT-Support ausgegeben und den Einsatz einer PowerShell-Reconnaissance-Skriptroutine empfohlen haben – getarnt als Update für eine Unternehmensanwendung. Solche Pfade sind für Verteidiger besonders anspruchsvoll, weil die RMM-Installation und die anschließende Skriptausführung oft wie „legitime“ Wartung aussehen, selbst wenn die Inhalte später auf interne Payment-APIs, Identitäten und Netzsegmente abzielen.
Im weiteren Verlauf wird das Setup darauf ausgerichtet, nicht nur zu beobachten, sondern auch Transaktionen kontrolliert anzustoßen und dabei Abwehrmechanismen zu umgehen. Laut GTIG und Mandiant soll Breeze Comet unter anderem auf verwundbare JBoss-Application-Server setzen, um Web Shells zu platzieren. Diese Grundlage dient dann als Transportebene für zusätzliche Tools; genannt werden u. a. Chisel und weitere Proxy-Utilities, mit denen sich Systeme über Konnektivitätsgrenzen hinweg erreichen lassen. Die eigentlichen Zielobjekte reichen dabei über Banken und Zahlungsprozessoren bis zu Retailern, Exchanges, Fintechs und Softwareanbieter für Bank- und Payment-Funktionen. Genannt werden zudem konkrete Zahlungs- und Abwicklungswege wie Pix, STR und Boleto. Entscheidender Hebel sind dabei mehrere Voraussetzungen, die in der Analyse als „notwendig“ beschrieben werden: Zugang zum National Financial System Network (RSFN) über eine bereits berechtigte Instanz, mTLS-Zertifikate für authentifizierte Payloads mit Transaktionsaufträgen, mehrere Konten in Active Directory sowie Zugriff auf Cloud-Umgebungen und ein Verständnis der Transferverarbeitung inklusive Netzwerkregeln, Fintech-Integrationen und Anti-Fraud-Systemen.
Auch die Persistenz- und Tarnstrategie wirkt wie ein Baustein, der konsequent auf „lebensfähige“ Zugriffsoptionen optimiert wurde. Der Angreifer soll seine Methoden von 2024 beginnend mit dem Dropping kommerzieller RMM-Tools über „bösartige Kubernetes Pods“ ein Jahr später hin zu Cloud-Secret-Theft weiterentwickelt haben, wobei die Exfiltration den Angaben zufolge auch über öffentlich erreichbare Notepad-Websites wie „dontpad[.]com“ lief. Zusätzlich werden mehrere maßgeschneiderte Backdoors als redundante Zugangswege beschrieben: LIGHTPAINT (Java-basiert) soll SoftEther VPN installieren und für automatisierte Persistenz konfigurieren, MILDFROST (passive Java JAR) soll DNS-Tunneling aufbauen, KICKPLATE (Nim-basiert) soll Windows-Update-Health-Tools imitieren, BOATBEAM (Go-basiert) soll einen gefälschten IIS-HTTPS-Server auf Port 443 starten. Für Verteidiger ist vor allem die Kombination aus Multi-Stage-Tarnung und der Entscheidung relevant, die Windows-Defender-Real-Time-Überwachung per PowerShell gezielt auszuschalten, um Erkennung und Entfernung unmittelbar nach dem Zugriff zu erschweren.
Im Finalzustand soll dann COBALTSPIN zusammen mit kompromittierten privilegierten Konten den Zugriff auf Kernapplikationen ermöglichen und „hunderten“ betrügerische Transaktionen auslösen; anschließend sollen Protokolle bereinigt werden, um Spuren zu verwischen und API-Interaktionen zu verschleiern. Dazu werden außerdem Löschaktionen für erstellte Verzeichnisse genannt. Gerade COBALTSPIN wird als Rust-basierter Netzwerk-Tunneler beschrieben, der eine Reverse-SOCKS5-Proxy-Funktion über eine WebSocket-Verbindung bereitstellt. Den Angaben zufolge kann darüber Netzwerkverkehr sicher zwischen Command-and-Control und internen Zielen geroutet werden, sodass Lateral Movement direkt über Boundary-Firewalls erfolgt – ohne dass zwingend eingebaute Persistenzmechanismen nötig sind, die typischerweise Detektion auslösen. Damit rückt die klassische Perimeter-Logik in den Hintergrund; wenn ein kompromittiertes Host-System eine „Schnittstelle ins Innere“ als Tunnel aufspannt, wird Segmentierung weniger effektiv und Erkennung muss stärker auf Prozess-, Identitäts- und Transaktionssignaturen reagieren.
Ein weiterer Punkt, der den Fall strategisch einordnet, ist die vermutete Rolle von Large Language Models (LLMs) im Angriffsablauf. In der Darstellung gelten „verbose explanatory comments“ und standardisierte Execution-Header als Indikatoren dafür, dass ein LLM genutzt wurde, um Teile der Malware-Entwicklung zu komprimieren. Zudem wird eine frühere Analyse mit Referenz auf Trend Micro aus Mai 2026 erwähnt, nach der Skripte Beschreibungen zu „self-reasoning“ und „autonomous decision-making“-Prozessen enthalten hätten. Während solche Hinweise die technische Planung und Wiederverwendbarkeit verbessern können, hat das für Security-Teams vor allem eine operative Konsequenz: Wenn Routine-Taktiken schneller generiert, angepasst und automatisiert werden, sinkt die typische Reaktionszeit zwischen erster Prä-Compromise-Aktivität und der Phase, in der Transaktionsabwicklungen manipuliert werden. Das passt auch zu der Einschätzung, dass sich der Angriffspfad weg vom opportunistischen Retail-Fraud hin zu direkten Intrusionen in die „financial switch“- und Instant-Payment-Infrastruktur verlagert haben soll – nicht nur bei den Zielen, sondern auch bei den Fähigkeiten.
Für Unternehmen, die in Brasilien oder in angrenzenden Regionen an Pix-/STR-Workflows teilnehmen, bedeutet das vor allem eine Verschärfung der Prüfmechanismen entlang der Zahlungs-Pipeline. Entscheidend sind nicht allein klassische Endpoint-Signaturen, sondern die Kette aus Identitätsprüfung, mTLS- und Zertifikatsmanagement, Zugriff auf Active Directory und Cloud-Rollen sowie die Überwachung von RMM-Installationen und ungewöhnlichen Reconnaissance-Skripten. Ebenso wichtig ist die Erkennung von Proxy-/Tunneling-Verhalten, etwa Reverse-SOCKS-Setups über WebSockets oder atypische Kommunikation zwischen vermeintlich getrennten Netzwerkbereichen. Wenn Angreifer zudem über kompromittierte Websites oder infostealer-ähnliche Artefakte (z. B. als Steuer- oder Belegdokumente getarnt) initialen Zugriff aufbauen sollen, müssen auch Content- und Web-Egress-Kontrollen in Betracht gezogen werden. Die Studie deutet zudem an, dass Breeze Comet eine Ausweitung auf weitere Länder in Lateinamerika und Afrika erwägen könnte; ob und wie schnell das gelingt, bleibt jedoch abzuwarten, weil dafür unter anderem RSFN-Zugänge und belastbares Wissen über Transferverfahren der Zielorganisationen nötig sind.
In der Breite zeigt der Fall damit ein Muster, das sich auch für andere hochvernetzte Finanzumgebungen übertragen lässt: Sobald Angreifer die Fähigkeit besitzen, die Authentizität von Payment-Orders (mTLS), die internen Berechtigungsgrenzen (AD/Cloud) und die Ausführungskette (API- und Transaktionsprozesse) gleichzeitig zu adressieren, wird Betrug „systemisch“. Und je stärker diese Angriffe durch modulare Backdoors, Tunneler und redundante Zugänge abgesichert sind, desto schwieriger wird die reine Bereinigung einzelner Komponenten. Wer den Schutz der Zahlungslogik ernst nimmt, muss daher den Fokus von isolierten Schwachstellen auf das Zusammenspiel legen – also darauf, ob ungewöhnliche RMM-Aktivitäten, Script-Execution, Tunneling und Transaktionsmuster als zusammenhängender Angriff erkannt werden. Genau an dieser Stelle entscheidet sich, ob ein Vorfall bei einem einzelnen Host bleibt oder in die Transaktionsabwicklung durchschlägt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Breeze Comet: Wie ein Zahlungssystem-Angreifer in Brasilien hunderte Transaktionen manipuliert" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Breeze Comet: Wie ein Zahlungssystem-Angreifer in Brasilien hunderte Transaktionen manipuliert" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Breeze Comet: Wie ein Zahlungssystem-Angreifer in Brasilien hunderte Transaktionen manipuliert« bei Google Deutschland suchen, bei Bing oder Google News!