Breeze Comet, ранее известная как UNC5669, взламывает бразильские банки, платёжные процессоры, финтех-компании, биржи, ретейлеров, интернет-магазины и разработчиков банковского ПО. Google Threat Intelligence Group (GTIG) и Mandiant используют название Breeze Comet, CrowdStrike отслеживает ту же группировку как Plump Spider, а Trend Micro связывает активность с кластером SHADOW-AETHER-064. По оценке CrowdStrike, преступники работают из Бразилии как минимум с сентября 2023 года. GTIG и Mandiant относят систематические атаки на бразильские финансовые, торговые и e-commerce-компании к периоду с 2024 года. Цель таких проникновений предельно практична: получить доступ к внутренним платёжным системам и провести переводы от имени уже авторизованной организации.
Преступников интересуют компании, имеющие техническое право работать с Pix, системой межбанковских резервных переводов STR, платёжными документами Boleto, банковским ПО и финансовыми API. Для успешной кражи им нужны четыре вещи. Первая: выход в Rede do Sistema Financeiro Nacional, Национальную сеть финансовой системы RSFN, через законного участника. Вторая: сертификаты взаимной аутентификации mTLS, позволяющие отправлять в Pix или STR подписанные запросы с платёжными распоряжениями. Третья: несколько захваченных учётных записей в Active Directory и облачных средах. Четвёртая: точное понимание того, как жертва обрабатывает переводы, связывает финтех-сервисы, ограничивает сетевой доступ и проверяет операции антифрод-системами. Одного заражённого ноутбука здесь мало: атакующим приходится разбирать финансовую кухню конкретной компании почти по винтикам.
Первичный доступ Breeze Comet получает разными способами. При распылении паролей один распространённый пароль проверяется сразу на множестве учётных записей, что выглядит менее шумно, чем перебор тысяч комбинаций для одного пользователя. Другой путь начинается с телефонного звонка: лже-сотрудник ИТ-поддержки убеждает человека установить законную RMM-программу удалённого управления, например AnyDesk. В ноябре 2025 года Axur описала случай, когда такую беседу перенесли в WhatsApp. Под видом обязательного обновления корпоративного приложения жертве предложили запустить разведывательный сценарий PowerShell. Человек собственноручно открыл атакующим дверь, полагая, что выполняет рядовую инструкцию техподдержки.
Для распространения вредоносных файлов группировка взламывает небольшие сайты государственных учреждений Бразилии. На них размещаются RMM-инструменты, XWorm, бэкдоры и похитители данных, замаскированные под налоговые бумаги либо квитанции. Те же сайты могут работать как узлы командно-управляющей инфраструктуры C2. Домен с уже сложившейся репутацией реже блокируется фильтрами, чем свежий адрес, зарегистрированный накануне атаки. Маскировка продолжается внутри сети: KICKPLATE выдаёт себя за Windows Update Health Tools, BOATBEAM поднимает поддельный HTTPS-сервер IIS, а PowerShell-команды отключают мониторинг Windows Defender в реальном времени. Так защитная программа не успевает удалить закрепившиеся инструменты.
Подход к закреплению заметно менялся. В 2024 году Breeze Comet в основном оставляла коммерческие RMM-программы. В 2025-м, спустя год, преступники уже разворачивали вредоносные поды Kubernetes, крали облачные секреты и выгружали их на общедоступный онлайн-блокнот dontpad[.]com. Затем в операциях появились сразу несколько собственных бэкдоров: резервные каналы нужны на случай, если один из них обнаружат. Разведка охватывает среды разработки, облака, Active Directory, внутренние сегменты, привилегированные учётные записи и инфраструктуру финансовых API. Наряду с Impacket, ADRecon и ADVipscan применяется REALBREEZE, специальная утилита для перебора LDAP, которую используют при внутренней разведке и повышении привилегий.
По сети атакующие перемещаются через несанкционированные сеансы Remote Desktop Protocol (RDP), выполняют команды посредством общих папок SMB и пользуются захваченными административными аккаунтами. Главным связующим инструментом служит COBALTSPIN, написанный на Rust маршрутизатор и сетевой туннелер. Он создаёт обратный прокси SOCKS5, передаёт соединение через WebSocket и маршрутизирует трафик между C2-серверами Breeze Comet и закрытыми системами жертвы. Такой канал даёт двусторонний доступ к внутренним целям, позволяет проходить через пограничные межсетевые экраны и сохранять связь с финансовыми API. По данным Google, операторам при этом реже приходится полагаться на штатные механизмы закрепления, способные вызвать тревогу средств защиты.
Набор специализированных бэкдоров разделён по задачам. LIGHTPAINT написан на Java: он устанавливает законный SoftEther VPN и настраивает его автоматический запуск для постоянного доступа. MILDFROST представляет собой пассивный Java JAR, создающий скрытые DNS-туннели. Написанный на Nim KICKPLATE загружает дополнительные компоненты, выполняет команды и управляет SOCKS5-туннелерами. BOATBEAM, созданный на Golang, имитирует IIS HTTPS-сервер и слушает стандартный порт 443, поэтому его трафик легче затерять среди обычных зашифрованных соединений. XWorm выполняет функции ещё одного бэкдора, особенно в цепочках со взломанными государственными сайтами. Разные языки и каналы связи тут не декоративная экзотика: удаление одного компонента не лишает преступников всех точек входа.
Финальная стадия начинается после захвата привилегированных аккаунтов и изучения платёжных процедур. Через COBALTSPIN операторы добираются до основных финансовых приложений, взаимодействуют с банковским ПО и API, после чего отправляют сотни мошеннических транзакций. Запросы поступают из доверенной инфраструктуры, с допустимыми правами и, при наличии украденных mTLS-данных, проходят аутентификацию как распоряжения самой организации. Как минимум одна подтверждённая кража принесла активы стоимостью в десятки тысяч долларов США. Затем Breeze Comet очищает журналы событий, скрывает следы обращений к платёжным системам и финансовому ПО, удаляет созданные во время вторжения каталоги. Полностью стереть историю обычно не удаётся, но реконструкция цепочки становится заметно труднее.
В коде группировки аналитики обнаружили признаки применения большой языковой модели, LLM. К ним отнесли многословные поясняющие комментарии, унифицированные заголовки запуска и описания логики сценариев. В более раннем исследовании Trend Micro, опубликованном в мае 2026 года, встречались формулировки о «самостоятельном рассуждении и автономных процессах принятия решений». Это не доказывает, что модель управляла атаками без человека. Более приземлённое объяснение: LLM помогала быстрее писать шаблонный код, документацию и варианты сценариев, сокращая цикл разработки вредоносных инструментов.
Похожие методы уже замечены в Нигерии, Парагвае, Гане и Венесуэле. Google допускает, что используемая инфраструктура готовится к расширению операций в других странах Латинской Америки и Африки. Раньше значительная часть регионального финансового киберкриминала строилась на массовых атаках против клиентов банков и случайном розничном мошенничестве. Breeze Comet действует глубже: взламывает организации с законным доступом к расчётной инфраструктуре, добирается до финансовых переключателей, систем мгновенных платежей и процессинговых платформ, а затем проводит операции внутри доверенного контура. Защитникам приходится контролировать не один периметр: подозрительные RMM-сеансы, выпуск и использование mTLS-сертификатов, изменения в Kubernetes, выгрузку секретов на публичные сервисы, нетипичные DNS-туннели, WebSocket-соединения и массовые платёжные распоряжения от привилегированных аккаунтов.
Преступников интересуют компании, имеющие техническое право работать с Pix, системой межбанковских резервных переводов STR, платёжными документами Boleto, банковским ПО и финансовыми API. Для успешной кражи им нужны четыре вещи. Первая: выход в Rede do Sistema Financeiro Nacional, Национальную сеть финансовой системы RSFN, через законного участника. Вторая: сертификаты взаимной аутентификации mTLS, позволяющие отправлять в Pix или STR подписанные запросы с платёжными распоряжениями. Третья: несколько захваченных учётных записей в Active Directory и облачных средах. Четвёртая: точное понимание того, как жертва обрабатывает переводы, связывает финтех-сервисы, ограничивает сетевой доступ и проверяет операции антифрод-системами. Одного заражённого ноутбука здесь мало: атакующим приходится разбирать финансовую кухню конкретной компании почти по винтикам.
Первичный доступ Breeze Comet получает разными способами. При распылении паролей один распространённый пароль проверяется сразу на множестве учётных записей, что выглядит менее шумно, чем перебор тысяч комбинаций для одного пользователя. Другой путь начинается с телефонного звонка: лже-сотрудник ИТ-поддержки убеждает человека установить законную RMM-программу удалённого управления, например AnyDesk. В ноябре 2025 года Axur описала случай, когда такую беседу перенесли в WhatsApp. Под видом обязательного обновления корпоративного приложения жертве предложили запустить разведывательный сценарий PowerShell. Человек собственноручно открыл атакующим дверь, полагая, что выполняет рядовую инструкцию техподдержки.
Для распространения вредоносных файлов группировка взламывает небольшие сайты государственных учреждений Бразилии. На них размещаются RMM-инструменты, XWorm, бэкдоры и похитители данных, замаскированные под налоговые бумаги либо квитанции. Те же сайты могут работать как узлы командно-управляющей инфраструктуры C2. Домен с уже сложившейся репутацией реже блокируется фильтрами, чем свежий адрес, зарегистрированный накануне атаки. Маскировка продолжается внутри сети: KICKPLATE выдаёт себя за Windows Update Health Tools, BOATBEAM поднимает поддельный HTTPS-сервер IIS, а PowerShell-команды отключают мониторинг Windows Defender в реальном времени. Так защитная программа не успевает удалить закрепившиеся инструменты.
Подход к закреплению заметно менялся. В 2024 году Breeze Comet в основном оставляла коммерческие RMM-программы. В 2025-м, спустя год, преступники уже разворачивали вредоносные поды Kubernetes, крали облачные секреты и выгружали их на общедоступный онлайн-блокнот dontpad[.]com. Затем в операциях появились сразу несколько собственных бэкдоров: резервные каналы нужны на случай, если один из них обнаружат. Разведка охватывает среды разработки, облака, Active Directory, внутренние сегменты, привилегированные учётные записи и инфраструктуру финансовых API. Наряду с Impacket, ADRecon и ADVipscan применяется REALBREEZE, специальная утилита для перебора LDAP, которую используют при внутренней разведке и повышении привилегий.
По сети атакующие перемещаются через несанкционированные сеансы Remote Desktop Protocol (RDP), выполняют команды посредством общих папок SMB и пользуются захваченными административными аккаунтами. Главным связующим инструментом служит COBALTSPIN, написанный на Rust маршрутизатор и сетевой туннелер. Он создаёт обратный прокси SOCKS5, передаёт соединение через WebSocket и маршрутизирует трафик между C2-серверами Breeze Comet и закрытыми системами жертвы. Такой канал даёт двусторонний доступ к внутренним целям, позволяет проходить через пограничные межсетевые экраны и сохранять связь с финансовыми API. По данным Google, операторам при этом реже приходится полагаться на штатные механизмы закрепления, способные вызвать тревогу средств защиты.
Набор специализированных бэкдоров разделён по задачам. LIGHTPAINT написан на Java: он устанавливает законный SoftEther VPN и настраивает его автоматический запуск для постоянного доступа. MILDFROST представляет собой пассивный Java JAR, создающий скрытые DNS-туннели. Написанный на Nim KICKPLATE загружает дополнительные компоненты, выполняет команды и управляет SOCKS5-туннелерами. BOATBEAM, созданный на Golang, имитирует IIS HTTPS-сервер и слушает стандартный порт 443, поэтому его трафик легче затерять среди обычных зашифрованных соединений. XWorm выполняет функции ещё одного бэкдора, особенно в цепочках со взломанными государственными сайтами. Разные языки и каналы связи тут не декоративная экзотика: удаление одного компонента не лишает преступников всех точек входа.
Финальная стадия начинается после захвата привилегированных аккаунтов и изучения платёжных процедур. Через COBALTSPIN операторы добираются до основных финансовых приложений, взаимодействуют с банковским ПО и API, после чего отправляют сотни мошеннических транзакций. Запросы поступают из доверенной инфраструктуры, с допустимыми правами и, при наличии украденных mTLS-данных, проходят аутентификацию как распоряжения самой организации. Как минимум одна подтверждённая кража принесла активы стоимостью в десятки тысяч долларов США. Затем Breeze Comet очищает журналы событий, скрывает следы обращений к платёжным системам и финансовому ПО, удаляет созданные во время вторжения каталоги. Полностью стереть историю обычно не удаётся, но реконструкция цепочки становится заметно труднее.
В коде группировки аналитики обнаружили признаки применения большой языковой модели, LLM. К ним отнесли многословные поясняющие комментарии, унифицированные заголовки запуска и описания логики сценариев. В более раннем исследовании Trend Micro, опубликованном в мае 2026 года, встречались формулировки о «самостоятельном рассуждении и автономных процессах принятия решений». Это не доказывает, что модель управляла атаками без человека. Более приземлённое объяснение: LLM помогала быстрее писать шаблонный код, документацию и варианты сценариев, сокращая цикл разработки вредоносных инструментов.
Похожие методы уже замечены в Нигерии, Парагвае, Гане и Венесуэле. Google допускает, что используемая инфраструктура готовится к расширению операций в других странах Латинской Америки и Африки. Раньше значительная часть регионального финансового киберкриминала строилась на массовых атаках против клиентов банков и случайном розничном мошенничестве. Breeze Comet действует глубже: взламывает организации с законным доступом к расчётной инфраструктуре, добирается до финансовых переключателей, систем мгновенных платежей и процессинговых платформ, а затем проводит операции внутри доверенного контура. Защитникам приходится контролировать не один периметр: подозрительные RMM-сеансы, выпуск и использование mTLS-сертификатов, изменения в Kubernetes, выгрузку секретов на публичные сервисы, нетипичные DNS-туннели, WebSocket-соединения и массовые платёжные распоряжения от привилегированных аккаунтов.