BRAZIL / LONDON (IT BOLTWISE) – Der Bedrohungsakteur Breeze Comet zielt seit 2024 auf Finanzdienstleister, Retail- und E-Commerce-Organisationen in Brasilien. Angreifer verschaffen sich unter anderem per Password Spraying und gefälschten IT-Support-Zugängen Zugriff auf interne Zahlungssysteme und setzen dann betrügerische Transaktionen über Pix und STR um. Laut Google Threat Intelligence und Mandiant arbeiten Teile des Angriffs mit einer Pipeline aus Webshells, RMM-Tools und einem Rust-basierten Tunneler namens COBALTSPIN. Auffällig ist zudem der Einsatz von KI-Elementen im Malware-Entwicklungsprozess, etwa durch verbose Kommentare und standardisierte Header in Skripten.
In Brasilien zeichnet sich mit Breeze Comet ein Angriffsszenario ab, das deutlich weiter in die Zahlungsinfrastruktur hineinreicht als der klassische „Carding“- oder Frontend-Betrug. Laut Google Threat Intelligence Group (GTIG) und Mandiant richtet sich die Kampagne seit 2024 auf Finanzdienstleister, aber auch auf Retailer und E-Commerce-Unternehmen, die über ihre Systeme Zahlungsaufträge abwickeln. Der Kern des Vorgehens: Der Angreifer versucht nicht nur Daten zu stehlen, sondern manipuliert die eigenen Wege, über die Transaktionen autorisiert und ausgeführt werden – insbesondere entlang der Integrationen mit Banksoftware, APIs und Zahlungsplattformen wie Pix, STR und Boleto.
Technisch beginnt der Zugriff häufig mit „niedrigschwelligen“ Social- und Access-Techniken, die sich in erfolgreichen Incidents sofort auszahlen. In den beschriebenen Fällen erfolgt der erste Einstieg über Password Spraying und über Voice Calls, bei denen Angreifer sich als IT-Support ausgeben, um Opfer zur Installation von Remote-Monitoring-und-Management-Tools zu bewegen – genannt wird dabei unter anderem AnyDesk. In einem Beispiel, das in der Analyse für November 2025 hervorgehoben wurde, führten die Angreifer den Prozess über einen WhatsApp-Chat durch und ließen sich die Installation einer PowerShell-Reconnaissance-Logik mit dem Vorwand „Corporate Application Update“ bestätigen. Diese Kombination reduziert den Aufwand, weil sie weder auf eine einzelne Zero-Day-Lücke noch auf eine komplexe Ausnutzungskette angewiesen ist.
Von dort aus verschiebt sich der Schwerpunkt auf serverseitige Durchdringung und das Nachladen weiterer Werkzeuge – mit einem Ablauf, der stark auf Umgehung von Detection ausgelegt ist. Breeze Comet soll vulnerable JBoss-AS-Server gezielt ansteuern, um Webshells zu installieren, die als Sprungbrett für zusätzliche Komponenten dienen. Für die spätere Persistenz und den Ausbau der Steuerung taucht dann ein Rust-basiertes Element namens COBALTSPIN auf: Der Tunneler baut einen Reverse-SOCKS5-Proxy über eine WebSocket-Verbindung auf und „routet“ Traffic zwischen Command-and-Control und internen Zielen. Entscheidend ist dabei das Argument aus der Analyse, dass sich so laterale Bewegungen über Netzwerkgrenzen und Firewalls hinweg möglich machen, ohne zwingend auf eingebaut persistente Mechanismen zu setzen, die Security-Teams besonders früh erkennen. Dazu kommen weitere benannte Backdoors als redundante Zugangswege, darunter LIGHTPAINT (Java, mit Installation und Konfiguration von SoftEther VPN zur automatisierten Persistenz), MILDFROST (passives Java-JAR für DNS-Tunneling) sowie KICKPLATE (Nim, mit Tarnung als Windows Update Health Tools) und BOATBEAM (Golang, der einen gefälschten IIS-HTTPS-Server auf Port 443 startet).
Auch die „Operational Requirements“ zeigen, dass es sich um einen finanziell motivierten Zugriff auf den Ablauf der Zahlungsabwicklung handelt. GTIG beschreibt dafür vier Voraussetzungen, die Breeze Comet erfüllen muss: Zugriffsrechte auf das National Financial System Network (RSFN) über eine Organisation, die diese Rechte bereits besitzt; Zugang zu mTLS-Zertifikaten, damit der Angreifer authentifizierte Payloads mit Transaktionsordern an Pix oder STR senden kann; mehrere Konten in Active Directory und Cloud-Umgebungen der Zielorganisation; und ein tiefes Verständnis der internen Transfer-Prozesse, Netzwerkkontrollen, Fintech-Integrationen sowie der Anti-Fraud-Mechanismen. Genau hier liegt der Unterschied zu vielen opportunistischen Kampagnen: Wer nur Daten abgreift, scheitert meist an Autorisierungsschichten. Wer aber die Transferlogik selbst ansteuert, kann betrügerische Aufträge innerhalb der erwarteten Systemwege ausführen. In der letzten Phase sollen dazu COBALTSPIN und privilegierte Konten für den Zugriff auf Kernanwendungen genutzt werden, um anschließend Hunderte betrügerische Transaktionen abzusetzen.
Bemerkenswert ist zudem, wie konsequent die Kampagne versucht, Spuren zu verwischen und gleichzeitig die eigenen Tools zu „modernisieren“. Es wird beschrieben, dass Event-Logs gelöscht werden, um die forensische Nachverfolgbarkeit zu reduzieren und API-Interaktionen mit Finanzsoftware sowie Payment-Systemen zu verdecken. Darüber hinaus werden während der Intrusion angelegte Verzeichnisse wieder entfernt – ein Detail, das gerade in zentralisierten Logging- und SIEM-Umgebungen häufig zusätzliche Hinweise liefern kann, wenn es nicht konsequent unterbunden wird. Gleichzeitig zeigt der Bericht eine zeitliche Evolution der Persistenz: von dem Ablegen kommerzieller RMM-Tools im Jahr 2024 über bösartige Kubernetes-Pods ein Jahr später bis hin zum Exfiltrieren von Cloud-Secrets, die zu öffentlichen Notepad-Seiten wie „dontpad[.]com“ umgeleitet wurden. Flankiert wird das Ganze durch PowerShell-Kommandos, die Windows Defender’s Real-Time-Monitoring auf kompromittierten Hosts deaktivieren – also eine direkte Maßnahme gegen die laufende Erkennung.
Ein zusätzlicher Hinweis auf eine beschleunigte Entwicklungskurve liegt im Einsatz von Mustern, die GTIG und Mandiant mit KI-Unterstützung in Verbindung bringen. In den beschriebenen Skripten sollen verbose erklärende Kommentare und standardisierte Ausführungs-Header dafür sprechen, dass ein Large Language Model (LLM) die Malware-Entwicklung und -Generierung verdichtet hat. Auch eine frühere Analyse von Trend Micro im Mai 2026 habe entsprechende Indikatoren in Skriptteilen gefunden und sogar Passagen beschrieben, die Selbstbeschreibungen wie „self-reasoning“ und „autonomous decision-making“ enthalten. Für Verteidiger bedeutet das weniger eine neue „Art von Malware“, sondern vor allem ein neues Tempo: Wenn Routine-Tradecraft, Layout und Boilerplate schneller entstehen, verkürzt sich die Zeit bis zur Verfügbarkeit frischer Varianten.
Damit ordnet sich Breeze Comet in einen breiteren Markttrend ein: Lateinamerikanische Cybercrime war laut GTIG historisch stärker durch Client-Side, hochvolumige Retail-Fraud dominiert. Diese Kampagnen sollen hingegen eine Verlagerung darstellen – hin zu direkten Intrusionen in den „core financial switch“ und die Infrastruktur für Instant Payments. Im Ergebnis müssen Abwehrteams ihre Perspektive anpassen: Nicht allein WAF- und Endpoint-Signaturen zählen, sondern auch die Absicherung von Integrationen, die Kontrolle privilegierter Konten, die Segmentierung um RDP/SMB-Pfade sowie die Überwachung der Kommunikationswege von Tunneln und Proxys. Gerade Angriffsvarianten, die mTLS-Zugriffe und API-Aufrufe innerhalb erlaubter Kommunikationsmuster adressieren, machen deutlich, wie wichtig Transaktions- und Verhaltensdetektion gegenüber reiner IOC-basierter Suche wird.
Für Unternehmen mit Pix- oder STR-Anbindung folgt daraus vor allem ein praxisnaher Prüfpunkt: Wie gut ist die Umgebung in der Lage, den gesamten Pfad von der Authentisierung (mTLS) bis zur tatsächlichen Transaktionsausführung zu „lesen“ und zu korrelieren? Wenn ein Angreifer wie beschrieben RMM-Tools oder Webshells als Einstieg nutzt, später Active-Directory- und Cloud-Umgebungen durchsucht (ADRecon, Impacket, AD-Vipscan sowie ein LDAP-Bruteforce-Werkzeug namens REALBREEZE werden genannt) und dann lateral per RDP startet und über SMB Dateifreigaben Befehle verteilt, wird jede Lücke in Segmentierung und Rechteverwaltung spürbar. Wer zudem COBALTSPIN-artige Tunnel, WebSocket-basierte Reverse-Proxys und persistente Cloud-Komponenten frühzeitig erkennt, reduziert das Risiko, dass „Hunderte Transaktionen“ am Ende nur als automatische Routine wirken – während sie in Wahrheit das Ergebnis eines gezielten Missbrauchs der Zahlungslogik sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Breeze Comet: KI-gestützte Angriffe auf Pix- und STR-Infrastruktur in Brasilien" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Breeze Comet: KI-gestützte Angriffe auf Pix- und STR-Infrastruktur in Brasilien" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Breeze Comet: KI-gestützte Angriffe auf Pix- und STR-Infrastruktur in Brasilien« bei Google Deutschland suchen, bei Bing oder Google News!