LONDON (IT BOLTWISE) – Ein finanziell motivierter Bedrohungsakteur namens „Breeze Comet“ soll seit 2024 gezielt brasilianische Finanzdienstleister sowie E-Commerce-Unternehmen angreifen, wie ein Bericht der Google Threat Intelligence Group nahelegt. Laut den Angaben zielt die Gruppe besonders darauf ab, Zahlungssysteme und Banksoftware zu manipulieren, um betrügerische Überweisungen auszuführen. Der initiale Zugriff erfolge dabei häufig über Passwort-Spraying und Social Engineering, wobei Angreifer IT-Support imitieren, um RMM-Tools wie AnyDesk oder Skripte zu installieren. Offen bleibt bislang, in welchem Umfang der mutmaßliche Einsatz von LLMs die Entwicklung weiterer Schadsoftware in der Region beschleunigt.
Brasilien bekommt in der Cyberkriminalität eine neue Schwerpunktsetzung: Ein finanziell motivierter Bedrohungsakteur, der in Threat-Intelligence-Dokumenten als „Breeze Comet“ geführt wird und zuvor unter „UNC5669“ bekannt war, soll seit 2024 gezielt Organisationen im Finanzsektor sowie im Einzelhandel und E-Commerce unter Druck setzen. Das geht aus einem Bericht der Google Threat Intelligence Group hervor. Dort heißt es auch, dass der Fokus nicht bei „klassischem“ Datendiebstahl endet, sondern bei manipulativen Angriffen auf Zahlungsketten und Banksoftware ansetzt – also genau dort, wo Authentifizierung, Überweisungslogik und Buchungsprozesse eng miteinander greifen. Für betroffene Unternehmen wirkt das wie ein Warnsignal, dass sich Angriffe zunehmend an die lokalen Zahlungsrealitäten anpassen: Pix, STR und Boleto tauchen im beschriebenen Zielbild nicht als Randdetails auf, sondern als zentrale Angriffspunkte.
Technisch betrachtet beginnt die Abfolge des mutmaßlichen Vorgehens mit einem initialen Zugriff, der weniger nach „Zero-Day-Show“ klingt und mehr nach skalierbarer Massenarbeit: Passwort-Spraying und Social Engineering dienen laut der Darstellung dazu, Zugänge zu erlangen und Rollen zu tarnen. Auffällig ist dabei, dass Angreifer IT-Support imitieren, um Opfer zu überzeugen, Remote Monitoring and Management (RMM)-Komponenten wie AnyDesk oder vorbereitete PowerShell-Skripte zu installieren. Diese Phase ist besonders riskant, weil RMM-Tools im Idealfall „normal“ im Unternehmensbetrieb vorkommen – etwa für Helpdesk-Workflows oder Wartung – und deshalb in vielen Umgebungen nicht mit der gleichen Dringlichkeit überprüft werden wie ein fremdes Tool. Danach soll die Gruppe außerdem verwundbare JBoss-AS-Server ausnutzen, um Webshells zu platzieren. Damit verschiebt sich der Angriff von der Nutzer- und Support-Ebene in Richtung einer serverseitigen Fernbedienung, über die sich weitere Systeme präzise ansteuern lassen.
Im beschriebenen Modell treffen die Akteure vor allem auf Organisationen, die Zugriff auf Banksoftware, APIs und Zahlungsschnittstellen haben. Genannt werden Banken, Payment-Processor, Händler und Fintechs – also Akteure, bei denen das Zusammenspiel aus Backend-Logik, Schnittstellen und Zahlungsrouting bereits eine hohe Komplexität erzeugt. Diese Komplexität nutzt „Breeze Comet“ offenbar als Hebel: Kompromittierte Regierungswebseiten und „rogue hardware“-Elemente sollen als Staging- und Übergangspunkte dienen, um Werkzeuge bereitzustellen und später im Netzwerk Fuß zu fassen. Sobald diese Basis steht, folgt eine interne Erkundung, unter anderem mit Impacket sowie eigenen Utilities. Anschließend wird seitwärts bewegt: RDP und SMB werden als Transportwege genutzt, um von einem kompromittierten System zu denjenigen Zielen zu gelangen, die für den eigentlichen Manipulationsschritt entscheidend sind.
Die Persistenz-Bausteine zielen dann darauf, die Kontrolle auch nach einem Neustart oder nach dem Wechsel von Rollen im Netzwerk zu sichern. Laut dem Bericht sollen dabei mehrere benutzerdefinierte Backdoors aktiv werden – unter Namen wie LIGHTPAINT, MILDFROST, KICKPLATE und BOATBEAM. Gleichzeitig soll die Gruppe Windows Defender deaktivieren, was die Hürden für das wiederholte Ausrollen und Aktualisieren von Komponenten senkt. In der Praxis ist genau dieser Mix aus Backdoor-Namen, Defense-Bypass und lateraler Bewegung ein Muster, das Incident-Response-Teams besonders anspruchsvoll finden: Es reicht dann nicht mehr, nur einen verdächtigen Prozess zu beenden, weil die Angreifer typischerweise mehrere Ebenen abdecken. Der Endschritt wird anschließend über kompromittierte Konten und spezifische Transaktions-Tools beschrieben; im Text wird „COBALTSPIN“ als Werkzeug genannt, das zur Durchführung betrügerischer Transaktionen eingesetzt und offenbar auch mit dem Bereinigen von Logs kombiniert wird. Dadurch wird die zeitnahe Rekonstruktion erschwert, insbesondere wenn Log-Auswertung in den ersten Stunden noch manuell oder verteilt erfolgt.
Bemerkenswert ist zudem die Vermutung, dass „Breeze Comet“ Large Language Models (LLMs) nutzt, um die Entwicklung von Schadsoftware zu beschleunigen. In dem Bericht wird das als Indikator dargestellt und nicht als endgültige, vollständig verifizierte Ursache – dennoch lohnt der Blick auf die Konsequenzen: Wenn KI-gestützte Text- und Code-Assistenz im Untergrund tatsächlich häufiger zum Einsatz kommt, sinken zwar nicht zwingend die technischen Hürden für das Offensivverhalten, aber die Entwicklungs- und Iterationszyklen können sich verkürzen. Für Sicherheitsverantwortliche bedeutet das, dass Mustererkennung allein nicht ausreicht: Stattdessen müssen Trainingsdaten, generische Code-Charakteristika und Verhaltenssignale stärker gewichtet werden, auch wenn die konkrete Implementierung dadurch schneller variiert. Gleichzeitig zeigt die Wahl der Zielobjekte – Pix-, STR- und Boleto-nahe Systeme – dass die Angreifer nicht nur „Werkzeugkisten“ modernisieren, sondern den Angriff auf die lokalen Zahlungskanäle optimieren.
Strategisch betrachtet passt das Bild zu einem größeren Trend in der Region: Cyberkriminalität verlagert sich zunehmend von breiten Spam- und Credential-Themen hin zu gezielten Angriffsketten, die die digitale Wertschöpfung in Finanz- und Handelsprozessen treffen. Für Unternehmen heißt das konkret, dass RMM-Installationen und Support-Interaktionen als Teil der Bedrohungsoberfläche behandelt werden sollten – nicht als reines „IT-Management-Thema“. Ebenso wichtig wird die Kontrolle von Schnittstellen und Bank-APIs, denn sobald Angreifer seitlich bis zu Systemen mit Zahlungslogik gelangen, kann ein funktionierender Betriebsmodus zum Missbrauch werden. Außerdem sollten Sie in der Detektion stärker auf Kombinationen achten: Ein Webshell auf einem anfälligen Server plus später RDP/SMB plus deaktivierte Schutzmechanismen und ungewöhnliche Authentifizierungsmuster ergibt ein klares Risiko-Profil, selbst wenn einzelne Indikatoren für sich genommen „noch“ nicht eindeutig sind.
Aus Sicht des Marktes und der Resilienz ist diese Entwicklung vor allem eine Frage der Reaktionsfähigkeit. Wenn „Breeze Comet“ tatsächlich wiederholt erfolgreich war – im Bericht ist von mindestens einem Ereignis die Rede, bei dem ein Geldbetrag im Bereich von „tens of thousands of U.S. dollars“ abgezogen worden sein soll – dann zählt für die Betroffenen jede Stunde zwischen Erstindikator und wirksamer Eindämmung. Eine gute Nachricht ist: Viele Schritte der beschriebenen Angriffsstrategie sind organisatorisch und technisch angreifbar, etwa durch strengere RMM-Regeln, gehärtete Server (einschließlich Absicherung von JBoss-AS-Installationen), Segmentierung für RDP/SMB und proaktives Monitoring auf Backdoor-/Defense-Bypass-Verhalten. Die eigentliche Herausforderung bleibt, dass sich Angreifer an Zahlungsstandards wie Pix und Boleto anheften und damit die „fachliche“ Bedeutung eines technischen Ereignisses erhöhen. Darin liegt der Kern der Bedrohung: Nicht nur Systeme werden kompromittiert, sondern Prozesse, die unmittelbar Geldflüsse auslösen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "„Breeze Comet“: Bedrohungsakteur mit RMM-, Webshell- und Pix-Fokus in Brasilien" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "„Breeze Comet“: Bedrohungsakteur mit RMM-, Webshell- und Pix-Fokus in Brasilien" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »„Breeze Comet“: Bedrohungsakteur mit RMM-, Webshell- und Pix-Fokus in Brasilien« bei Google Deutschland suchen, bei Bing oder Google News!