{"id":50894,"date":"2026-09-02T10:03:25","date_gmt":"2026-09-02T08:03:25","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50894"},"modified":"2026-09-02T10:03:25","modified_gmt":"2026-09-02T08:03:25","slug":"breeze-comet-betruegerische-transaktionen-brasilien-50894","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/breeze-comet-betruegerische-transaktionen-brasilien-50894\/","title":{"rendered":"Breeze Comet f\u00fchrt Hunderte betr\u00fcgerische Transaktionen via brasilianische Zahlungssysteme aus"},"content":{"rendered":"

Die als Breeze Comet<\/strong> bekannte Gruppe f\u00fchrt seit 2024 Hunderte betr\u00fcgerische Transaktionen \u00fcber brasilianische Zahlungssysteme wie Pix, STR und Boleto aus. Finanzdienstleister, Einzelhandelsketten und E-Commerce-Unternehmen in Brasilien z\u00e4hlen zu den Hauptzielen. Die T\u00e4ter greifen dabei nicht nur einzelne Kundenkonten an, sondern dringen direkt in die Systeme ein, die f\u00fcr die Verarbeitung von Zahlungen zust\u00e4ndig sind.<\/p>\n

Breeze Comet f\u00fchrt Hunderte betr\u00fcgerische Transaktionen via brasilianische Zahlungssysteme aus<\/h2>\n

Breeze Comet, fr\u00fcher als UNC5669 bekannt, ist auf die Manipulation von Zahlungssystemen und Bankensoftware in Brasilien spezialisiert. Untersuchungen der Google Threat Intelligence<\/a> Group und von Mandiant<\/a> zeigen, dass die Gruppe dabei bereits mindestens einen Raubzug im Wert von mehreren zehntausend US-Dollar<\/a> abgeschlossen hat. CrowdStrike<\/a> bezeichnet die Gruppe als Plump Spider, Trend Micro als SHADOW-AETHER-064. Die E-Crime-Gruppe agiert aus Brasilien und ist seit September 2023 aktiv; sie monetarisiert ihre Einbr\u00fcche, indem sie unbefugten Zugang zu internen Zahlungssystemen gewinnt und \u00fcber diese Systeme betr\u00fcgerische Transaktionen ausf\u00fchrt.<\/p>\n

So verschafft sich Breeze Comet den ersten Zugriff<\/h2>\n

Der Einstieg gelingt der Gruppe auf zwei Wegen. Zum einen setzt sie auf Password Spraying, also das massenhafte Ausprobieren schwacher Passw\u00f6rter, sowie auf Anrufe, bei denen sich die Angreifer als IT-Support ausgeben. Auf diese Weise \u00fcberreden die Angreifer Besch\u00e4ftigte, Fernwartungswerkzeuge (Remote Monitoring and Management, RMM) wie AnyDesk zu installieren. In einem im November 2025 dokumentierten Fall kontaktierten die T\u00e4ter ihr Opfer per WhatsApp, gaben sich als IT-Support aus und brachten es dazu, ein PowerShell-Skript unter dem Vorwand eines Unternehmens-Updates auszuf\u00fchren \u2013 tats\u00e4chlich handelte es sich um ein Aufkl\u00e4rungsskript.<\/p>\n

Zum anderen nutzt die Gruppe verwundbare JBoss-AS-Server als Einfallstor, um Web-Shells zu platzieren. Diese dienen dazu, zus\u00e4tzliche Werkzeuge wie Chisel und andere Proxy-Utilities nachzuladen, mit denen die Angreifer ihren Zugriff ausbauen.<\/p>\n

Kompromittierte Regierungswebsites als Tarnung<\/h3>\n

F\u00fcr die Bereitstellung von Schadsoftware und die Steuerung der Angriffe nutzt Breeze Comet gezielt kompromittierte kleine brasilianische Regierungswebsites. Auf diesen Seiten werden Fernwartungstools, als Steuer- oder Belegdokumente getarnte Infostealer sowie Backdoors wie XWorm gehostet. Gleichzeitig fungieren die Websites als Command-and-Control-Endpunkte, weil diese Seiten Reputationsfilter umgehen und eine Erkennung erschweren. Dieses Muster wurde auch in Nigeria, Paraguay, Ghana und Venezuela beobachtet, was auf einen wachsenden geografischen Fokus hindeutet.<\/p>\n

Physische Angriffe im Einzelhandel<\/h3>\n

Neben Remote-Zugriffen nutzt die Gruppe auch physische Manipulation. So verbindet sie manipulierte Hardware direkt mit den Netzwerken von Ladengesch\u00e4ften im Einzelhandel. Von dort bewegt sie sich innerhalb des Netzwerks zu internen Systemen weiter und l\u00e4dt anschlie\u00dfend Netcat sowie eigene Skripte nach, um Post-Exploitation-Frameworks abzurufen. Diese Vorgehensweise zeigt, dass Breeze Comet bereit ist, mehrere Wege parallel zu verfolgen, um in kritische Umgebungen zu gelangen.<\/p>\n

Was will Breeze Comet erreichen?<\/h2>\n

Im Fokus von Breeze Comet stehen Organisationen, die berechtigt sind, Transaktionen \u00fcber Banking-Software, APIs und Zahlungssysteme wie Pix, STR und Boleto auszuf\u00fchren. Dazu geh\u00f6ren Banken, Zahlungsabwickler, Einzelhandelsketten, Handelsplattformen sowie Fintech- und Banking-Softwareanbieter. Die Gruppe manipuliert diese Systeme so, dass am Ende Hunderte betr\u00fcgerische Transaktionen ausgel\u00f6st werden, ohne dass die internen Kontrollen der Institute dies verhindern.<\/p>\n

Vier Voraussetzungen f\u00fcr einen erfolgreichen Angriff<\/h3>\n

Damit ein Angriff gelingt, muss Breeze Comet vier Bedingungen erf\u00fcllen. Diese Anforderungen erkl\u00e4ren, warum die Angriffe gezielt und langwierig sind:<\/p>\n

    \n
  • Zugang zum National Financial System Network (RSFN) \u00fcber ein Unternehmen, das bereits an dieses Netzwerk angebunden ist.<\/li>\n
  • Zugang zu mTLS-Zugangsdaten, mit denen authentifizierte Transaktionsauftr\u00e4ge an Pix oder STR gesendet werden k\u00f6nnen.<\/li>\n
  • Zugang zu mehreren Konten in Active-Directory- und Cloud-Umgebungen der Zielorganisation.<\/li>\n
  • Detaillierte Kenntnisse \u00fcber die \u00dcberweisungsabl\u00e4ufe, Netzwerkkontrollen, Fintech-Integrationen und Anti-Fraud-Systeme des Unternehmens.<\/li>\n<\/ul>\n

    Vom Netzwerkzugang zur Finanztransaktion<\/h2>\n

    Nach dem initialen Zugriff f\u00fchrt Breeze Comet eine gr\u00fcndliche interne Aufkl\u00e4rung durch. Die Gruppe setzt daf\u00fcr standardisierte Werkzeuge wie Impacket, ADRecon und ADVipscan ein, erg\u00e4nzt um eine eigene LDAP-Brute-Force-Anwendung namens REALBREEZE. Damit sp\u00fcrt sie privilegierte Konten auf und erh\u00f6ht die Berechtigungen in Entwicklungs- und Cloud-Umgebungen.<\/p>\n

    Die laterale Bewegung erfolgt \u00fcber unbefugte RDP-Sitzungen und die Ausf\u00fchrung von Befehlen per SMB-Netzwerkfreigaben. In dieser Phase kommt auch COBALTSPIN zum Einsatz, eine in Rust geschriebene Routing-Malware, die als Netzwerk-Tunneling-Werkzeug dient. COBALTSPIN baut einen umgekehrten SOCKS5-Proxy \u00fcber eine WebSocket-Verbindung auf und leitet den Datenverkehr zwischen der Command-and-Control-Infrastruktur und internen Zielsystemen weiter. Auf diese Weise k\u00f6nnen die Angreifer laterale Bewegungen direkt durch die Perimeter-Firewalls durchf\u00fchren, ohne auf eingebaute Persistenzfunktionen angewiesen zu sein, die m\u00f6glicherweise eine Erkennung ausl\u00f6sen w\u00fcrden. Gleichzeitig h\u00e4lt das Tool dauerhaft Zugang zur Finanz-API-Infrastruktur aufrecht.<\/p>\n

    Persistenz mit Cloud-Ressourcen und eigenen Backdoors<\/h2>\n

    Die Persistenzstrategie der Gruppe hat sich deutlich ver\u00e4ndert. 2024 kamen noch handels\u00fcbliche RMM-Tools zum Einsatz; ein Jahr sp\u00e4ter installierte Breeze Comet b\u00f6sartige Kubernetes-Pods und stahl Cloud-Secrets, die \u00fcber \u00f6ffentlich zug\u00e4ngliche Notiz-Websites wie dontpad[.]com abflossen. Parallel nutzt die Gruppe inzwischen mehrere eigene Backdoors als redundanten Zugriffsweg. Diese Backdoors sind auf unterschiedliche Aufgaben spezialisiert:<\/p>\n

      \n
    • LIGHTPAINT<\/strong> ist eine Java-basierte Backdoor, die die legitime VPN-Software SoftEther installiert und so konfiguriert, dass die Persistenz automatisch aufrechterhalten wird.<\/li>\n
    • MILDFROST<\/strong> ist eine passive Java-JAR-Backdoor, die verdeckte DNS-Tunnel aufbaut.<\/li>\n
    • KICKPLATE<\/strong> ist eine Nim-basierte Backdoor, die das Windows-Update-Health-Tool nachahmt, Folge-Payloads \u00fcbertr\u00e4gt und Befehle zur Steuerung von SOCKS5-Tunnelern ausf\u00fchrt.<\/li>\n
    • BOATBEAM<\/strong> ist eine Golang-basierte Backdoor, die einen vorget\u00e4uschten IIS-HTTPS-Server auf Port 443 startet.<\/li>\n<\/ul>\n

      Damit diese Werkzeuge nicht entdeckt werden, f\u00fchrt die Gruppe PowerShell-Befehle aus, um die Echtzeit\u00fcberwachung von Windows Defender auf den befallenen Systemen abzuschalten.<\/p>\n

      Die letzte Phase: Hunderte Transaktionen, dann Spuren verwischen<\/h2>\n

      Im letzten Schritt nutzt Breeze Comet COBALTSPIN und kompromittierte privilegierte Konten, um auf die zentralen Finanzanwendungen zuzugreifen und Hunderte betr\u00fcgerische Transaktionen auszuf\u00fchren. Nach Abschluss l\u00f6scht die Gruppe Ereignisprotokolle, um forensische Spuren zu minimieren und die API-Interaktionen mit Finanzsoftware und Zahlungssystemen zu verbergen. Auch Verzeichnisse, die w\u00e4hrend des Angriffs angelegt wurden, werden entfernt. Die T\u00e4ter hinterlassen auf diese Weise nur wenige Hinweise auf den genauen Ablauf.<\/p>\n

      Gro\u00dfe Sprachmodelle beschleunigen die Malware-Entwicklung<\/h2>\n

      Die Auswertung der verwendeten Skripte offenbart einen weiteren strategischen Wandel: umfangreiche erkl\u00e4rende Kommentare und standardisierte Ausf\u00fchrungs-Header deuten darauf hin, dass Breeze Comet gro\u00dfe Sprachmodelle (LLMs) einsetzt, um den Entwicklungszyklus der Malware zu verk\u00fcrzen. Eine Analyse von Trend Micro aus dem Mai 2026 zeigte zudem, dass einige Skripte Beschreibungen selbstreflexiver und autonomer Entscheidungsprozesse enthalten. Das bedeutet, dass die Gruppe in der Lage ist, neue Werkzeuge in deutlich k\u00fcrzerer Zeit zu produzieren und an die jeweilige Zielumgebung anzupassen.<\/p>\n

      Warum Breeze Comet \u00fcber Brasilien hinausreicht<\/h2>\n

      Der lateinamerikanische Cyberkriminalit\u00e4tssektor war lange von Massenbetrug im Privatkundensegment gepr\u00e4gt. Breeze Comet steht f\u00fcr einen grundlegenden Wandel: Die Gruppe dringt direkt in die Kerninfrastruktur des Finanzsystems ein, manipuliert das Zusammenspiel zwischen Banken und nutzt Instant-Payment-Infrastrukturen wie Pix f\u00fcr betr\u00fcgerische Transaktionen. Diese F\u00e4higkeiten k\u00f6nnten als Vorlage f\u00fcr andere finanziell motivierte Akteure in der Region dienen.<\/p>\n

      Auch die wachsende geografische Ausdehnung auf weitere L\u00e4nder in Lateinamerika und Afrika signalisiert, dass die Betriebsinfrastruktur der Gruppe nicht auf Brasilien beschr\u00e4nkt bleiben d\u00fcrfte. F\u00fcr Verteidiger bedeutet das, dass sie mit k\u00fcrzeren Entwicklungszyklen der Angreifer rechnen m\u00fcssen und den Schutz besonders sensibler Schnittstellen zwischen Banken, Zahlungsdienstleistern und Fintechs priorisieren sollten.<\/p>\n","protected":false},"excerpt":{"rendered":"

      Die als Breeze Comet bekannte Gruppe f\u00fchrt seit 2024 Hunderte betr\u00fcgerische Transaktionen \u00fcber brasilianische Zahlungssysteme wie Pix, STR und Boleto aus. Finanzdienstleister, Einzelhandelsketten und E-Commerce-Unternehmen in Brasilien z\u00e4hlen zu den Hauptzielen. Die T\u00e4ter greifen dabei nicht nur einzelne Kundenkonten an, sondern dringen direkt in die Systeme ein, die f\u00fcr die Verarbeitung von Zahlungen zust\u00e4ndig sind. […]<\/p>\n","protected":false},"author":5,"featured_media":53646,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50894.png","fifu_image_alt":"Breeze Comet f\u00fchrt Hunderte betr\u00fcgerische Transaktionen via brasilianische Zahlungssysteme aus","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50894","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50894.png","fifu_image_alt":"Breeze Comet f\u00fchrt Hunderte betr\u00fcgerische Transaktionen via brasilianische Zahlungssysteme aus","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50894","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50894"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50894\/revisions"}],"predecessor-version":[{"id":50897,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50894\/revisions\/50897"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53646"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50894"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50894"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50894"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}