Google alerta para grupo que invade empresas brasileiras para fraudar Pix e boletos; IA já ajuda a criar malware
Google alerta para BREEZE COMET, grupo que invade empresas brasileiras para fraudar Pix e boletos e usa IA para acelerar ataques.
O Google detalhou a atuação do BREEZE COMET, grupo criminoso que invade organizações brasileiras ligadas ao sistema financeiro para tentar realizar transferências fraudulentas.
Os alvos incluem empresas com acesso a sistemas de pagamento como Pix, STR e boleto, além de fintechs, varejistas, processadores e fornecedores de software bancário.
O alerta não descreve um golpe que rouba diretamente a chave Pix de qualquer usuário comum.
Desse modo, o grupo busca entrar na infraestrutura das empresas, elevar privilégios e alcançar sistemas capazes de autorizar transações em nome da organização.
Quem o BREEZE COMET procura invadir no Brasil
O grupo prioriza ambientes que possuem acesso a softwares bancários, APIs e sistemas de pagamento.
Depois do primeiro acesso, tenta roubar credenciais, certificados e contas privilegiadas que permitam avançar até aplicações financeiras centrais.
O Google observou buscas internas por termos ligados a boleto, arquivos CNAB, remessas e integrações de Pix.
O objetivo é entender como a empresa processa transferências e encontrar credenciais capazes de autorizar operações.
Golpes começam antes do acesso ao Pix
O BREEZE COMET usa diferentes caminhos para entrar nas redes.
As campanhas já combinaram tentativa de senhas em massa, ligações que fingem vir do suporte de TI, ferramentas legítimas de acesso remoto e sites governamentais comprometidos para hospedar arquivos maliciosos.
Em algumas operações, criminosos também conectaram dispositivos físicos não autorizados a redes de lojas para criar um ponto de entrada.
Depois disso, o grupo usa ferramentas de reconhecimento, movimentação lateral e malware próprio para manter acesso.
IA generativa acelera scripts e desenvolvimento de malware
A Mandiant encontrou evidências de que o grupo usa modelos de linguagem para acelerar a criação de scripts personalizados.
Imagem: Reprodução
A IA ajuda em tarefas como reconhecimento de rede, validação de credenciais, implantação em massa, movimentação específica para cada vítima e extração de dados.
Isso não significa que uma IA execute sozinha toda a invasão. O grupo combina ferramentas que LLMs ajudam a gerar ou acelerar com backdoors próprios que ele escreve em diferentes linguagens.
O ganho está em reduzir tempo de desenvolvimento e facilitar a coordenação de ataques em vários ambientes ao mesmo tempo.
Fraudes podem acontecer rapidamente após o acesso
Em um caso que a Mandiant analisou, o BREEZE COMET conseguiu alcançar aplicações financeiras centrais e, entre 24 e 48 horas depois, executou duas ondas com centenas de transações fraudulentas.
O Google afirma que o grupo já realizou ao menos um roubo de dezenas de milhares de dólares.
Para empresas, a defesa precisa combinar controles técnicos e treinamento. O Google recomenda medidas como:
- bloquear ferramentas de acesso remoto não autorizadas;
- treinar funcionários contra falsas ligações de suporte de TI;
- proteger portas físicas e acessos de rede em lojas e filiais;
- restringir privilégios e monitorar credenciais administrativas;
- registrar e analisar o uso de PowerShell e scripts dentro do ambiente.
Para clientes de bancos e fintechs, o alerta reforça a necessidade de conferir notificações e extratos, mas o foco desta campanha está na infraestrutura das empresas.
O risco cresce quando criminosos conseguem transformar uma invasão corporativa em acesso direto aos mecanismos que movimentam dinheiro.
O que você achou? Siga @bitmagazineoficial no Instagram para ver mais e deixar seu comentário clicando aqui
