Die als Breeze Comet bekannte Gruppe führt seit 2024 Hunderte betrügerische Transaktionen über brasilianische Zahlungssysteme wie Pix, STR und Boleto aus. Finanzdienstleister, Einzelhandelsketten und E-Commerce-Unternehmen in Brasilien zählen zu den Hauptzielen. Die Täter greifen dabei nicht nur einzelne Kundenkonten an, sondern dringen direkt in die Systeme ein, die für die Verarbeitung von Zahlungen zuständig sind.
Breeze Comet führt Hunderte betrügerische Transaktionen via brasilianische Zahlungssysteme aus
Breeze Comet, früher als UNC5669 bekannt, ist auf die Manipulation von Zahlungssystemen und Bankensoftware in Brasilien spezialisiert. Untersuchungen der Google Threat Intelligence Group und von Mandiant zeigen, dass die Gruppe dabei bereits mindestens einen Raubzug im Wert von mehreren zehntausend US-Dollar abgeschlossen hat. CrowdStrike bezeichnet die Gruppe als Plump Spider, Trend Micro als SHADOW-AETHER-064. Die E-Crime-Gruppe agiert aus Brasilien und ist seit September 2023 aktiv; sie monetarisiert ihre Einbrüche, indem sie unbefugten Zugang zu internen Zahlungssystemen gewinnt und über diese Systeme betrügerische Transaktionen ausführt.
So verschafft sich Breeze Comet den ersten Zugriff
Der Einstieg gelingt der Gruppe auf zwei Wegen. Zum einen setzt sie auf Password Spraying, also das massenhafte Ausprobieren schwacher Passwörter, sowie auf Anrufe, bei denen sich die Angreifer als IT-Support ausgeben. Auf diese Weise überreden die Angreifer Beschäftigte, Fernwartungswerkzeuge (Remote Monitoring and Management, RMM) wie AnyDesk zu installieren. In einem im November 2025 dokumentierten Fall kontaktierten die Täter ihr Opfer per WhatsApp, gaben sich als IT-Support aus und brachten es dazu, ein PowerShell-Skript unter dem Vorwand eines Unternehmens-Updates auszuführen – tatsächlich handelte es sich um ein Aufklärungsskript.
Zum anderen nutzt die Gruppe verwundbare JBoss-AS-Server als Einfallstor, um Web-Shells zu platzieren. Diese dienen dazu, zusätzliche Werkzeuge wie Chisel und andere Proxy-Utilities nachzuladen, mit denen die Angreifer ihren Zugriff ausbauen.
Kompromittierte Regierungswebsites als Tarnung
Für die Bereitstellung von Schadsoftware und die Steuerung der Angriffe nutzt Breeze Comet gezielt kompromittierte kleine brasilianische Regierungswebsites. Auf diesen Seiten werden Fernwartungstools, als Steuer- oder Belegdokumente getarnte Infostealer sowie Backdoors wie XWorm gehostet. Gleichzeitig fungieren die Websites als Command-and-Control-Endpunkte, weil diese Seiten Reputationsfilter umgehen und eine Erkennung erschweren. Dieses Muster wurde auch in Nigeria, Paraguay, Ghana und Venezuela beobachtet, was auf einen wachsenden geografischen Fokus hindeutet.
Physische Angriffe im Einzelhandel
Neben Remote-Zugriffen nutzt die Gruppe auch physische Manipulation. So verbindet sie manipulierte Hardware direkt mit den Netzwerken von Ladengeschäften im Einzelhandel. Von dort bewegt sie sich innerhalb des Netzwerks zu internen Systemen weiter und lädt anschließend Netcat sowie eigene Skripte nach, um Post-Exploitation-Frameworks abzurufen. Diese Vorgehensweise zeigt, dass Breeze Comet bereit ist, mehrere Wege parallel zu verfolgen, um in kritische Umgebungen zu gelangen.
Was will Breeze Comet erreichen?
Im Fokus von Breeze Comet stehen Organisationen, die berechtigt sind, Transaktionen über Banking-Software, APIs und Zahlungssysteme wie Pix, STR und Boleto auszuführen. Dazu gehören Banken, Zahlungsabwickler, Einzelhandelsketten, Handelsplattformen sowie Fintech- und Banking-Softwareanbieter. Die Gruppe manipuliert diese Systeme so, dass am Ende Hunderte betrügerische Transaktionen ausgelöst werden, ohne dass die internen Kontrollen der Institute dies verhindern.
Vier Voraussetzungen für einen erfolgreichen Angriff
Damit ein Angriff gelingt, muss Breeze Comet vier Bedingungen erfüllen. Diese Anforderungen erklären, warum die Angriffe gezielt und langwierig sind:
- Zugang zum National Financial System Network (RSFN) über ein Unternehmen, das bereits an dieses Netzwerk angebunden ist.
- Zugang zu mTLS-Zugangsdaten, mit denen authentifizierte Transaktionsaufträge an Pix oder STR gesendet werden können.
- Zugang zu mehreren Konten in Active-Directory- und Cloud-Umgebungen der Zielorganisation.
- Detaillierte Kenntnisse über die Überweisungsabläufe, Netzwerkkontrollen, Fintech-Integrationen und Anti-Fraud-Systeme des Unternehmens.
Vom Netzwerkzugang zur Finanztransaktion
Nach dem initialen Zugriff führt Breeze Comet eine gründliche interne Aufklärung durch. Die Gruppe setzt dafür standardisierte Werkzeuge wie Impacket, ADRecon und ADVipscan ein, ergänzt um eine eigene LDAP-Brute-Force-Anwendung namens REALBREEZE. Damit spürt sie privilegierte Konten auf und erhöht die Berechtigungen in Entwicklungs- und Cloud-Umgebungen.
Die laterale Bewegung erfolgt über unbefugte RDP-Sitzungen und die Ausführung von Befehlen per SMB-Netzwerkfreigaben. In dieser Phase kommt auch COBALTSPIN zum Einsatz, eine in Rust geschriebene Routing-Malware, die als Netzwerk-Tunneling-Werkzeug dient. COBALTSPIN baut einen umgekehrten SOCKS5-Proxy über eine WebSocket-Verbindung auf und leitet den Datenverkehr zwischen der Command-and-Control-Infrastruktur und internen Zielsystemen weiter. Auf diese Weise können die Angreifer laterale Bewegungen direkt durch die Perimeter-Firewalls durchführen, ohne auf eingebaute Persistenzfunktionen angewiesen zu sein, die möglicherweise eine Erkennung auslösen würden. Gleichzeitig hält das Tool dauerhaft Zugang zur Finanz-API-Infrastruktur aufrecht.
Persistenz mit Cloud-Ressourcen und eigenen Backdoors
Die Persistenzstrategie der Gruppe hat sich deutlich verändert. 2024 kamen noch handelsübliche RMM-Tools zum Einsatz; ein Jahr später installierte Breeze Comet bösartige Kubernetes-Pods und stahl Cloud-Secrets, die über öffentlich zugängliche Notiz-Websites wie dontpad[.]com abflossen. Parallel nutzt die Gruppe inzwischen mehrere eigene Backdoors als redundanten Zugriffsweg. Diese Backdoors sind auf unterschiedliche Aufgaben spezialisiert:
- LIGHTPAINT ist eine Java-basierte Backdoor, die die legitime VPN-Software SoftEther installiert und so konfiguriert, dass die Persistenz automatisch aufrechterhalten wird.
- MILDFROST ist eine passive Java-JAR-Backdoor, die verdeckte DNS-Tunnel aufbaut.
- KICKPLATE ist eine Nim-basierte Backdoor, die das Windows-Update-Health-Tool nachahmt, Folge-Payloads überträgt und Befehle zur Steuerung von SOCKS5-Tunnelern ausführt.
- BOATBEAM ist eine Golang-basierte Backdoor, die einen vorgetäuschten IIS-HTTPS-Server auf Port 443 startet.
Damit diese Werkzeuge nicht entdeckt werden, führt die Gruppe PowerShell-Befehle aus, um die Echtzeitüberwachung von Windows Defender auf den befallenen Systemen abzuschalten.
Die letzte Phase: Hunderte Transaktionen, dann Spuren verwischen
Im letzten Schritt nutzt Breeze Comet COBALTSPIN und kompromittierte privilegierte Konten, um auf die zentralen Finanzanwendungen zuzugreifen und Hunderte betrügerische Transaktionen auszuführen. Nach Abschluss löscht die Gruppe Ereignisprotokolle, um forensische Spuren zu minimieren und die API-Interaktionen mit Finanzsoftware und Zahlungssystemen zu verbergen. Auch Verzeichnisse, die während des Angriffs angelegt wurden, werden entfernt. Die Täter hinterlassen auf diese Weise nur wenige Hinweise auf den genauen Ablauf.
Große Sprachmodelle beschleunigen die Malware-Entwicklung
Die Auswertung der verwendeten Skripte offenbart einen weiteren strategischen Wandel: umfangreiche erklärende Kommentare und standardisierte Ausführungs-Header deuten darauf hin, dass Breeze Comet große Sprachmodelle (LLMs) einsetzt, um den Entwicklungszyklus der Malware zu verkürzen. Eine Analyse von Trend Micro aus dem Mai 2026 zeigte zudem, dass einige Skripte Beschreibungen selbstreflexiver und autonomer Entscheidungsprozesse enthalten. Das bedeutet, dass die Gruppe in der Lage ist, neue Werkzeuge in deutlich kürzerer Zeit zu produzieren und an die jeweilige Zielumgebung anzupassen.
Warum Breeze Comet über Brasilien hinausreicht
Der lateinamerikanische Cyberkriminalitätssektor war lange von Massenbetrug im Privatkundensegment geprägt. Breeze Comet steht für einen grundlegenden Wandel: Die Gruppe dringt direkt in die Kerninfrastruktur des Finanzsystems ein, manipuliert das Zusammenspiel zwischen Banken und nutzt Instant-Payment-Infrastrukturen wie Pix für betrügerische Transaktionen. Diese Fähigkeiten könnten als Vorlage für andere finanziell motivierte Akteure in der Region dienen.
Auch die wachsende geografische Ausdehnung auf weitere Länder in Lateinamerika und Afrika signalisiert, dass die Betriebsinfrastruktur der Gruppe nicht auf Brasilien beschränkt bleiben dürfte. Für Verteidiger bedeutet das, dass sie mit kürzeren Entwicklungszyklen der Angreifer rechnen müssen und den Schutz besonders sensibler Schnittstellen zwischen Banken, Zahlungsdienstleistern und Fintechs priorisieren sollten.
