#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
BREEZE COMET — злоумышленник, действующий из финансовых мотивов, который нацелен на финансовую экосистему Бразилии. Он получает доступ посредством фишинга, распыления пароля, инструментов RMM, скомпрометированных веб-сайтов и уязвимостей, после чего крадет платежные учетные данные и использует туннелирование, бэкдоры и легитимные учетные записи для доступа к финансовым системам и проведения крупных мошеннических транзакций Pix и других платежей.
-----

BREEZE COMET, также отслеживаемый как UNC5669 и связанный с Plump Spider и SHADOW-AETHER-064, — это злоумышленник, действующий из финансовых мотивов, который нацелен на бразильские банки, финтех-компании, розничных продавцов, биржи, платежные процессоры и поставщиков финансового программного обеспечения. Группа компрометирует организации, способные инициировать транзакции через Pix, STR, Boleto, банковские API или бразильскую финансовую сеть. Ее цель — получить привилегированный доступ, учетные данные mTLS и знание рабочих процессов обработки платежей перед выполнением мошеннических переводов.

Первоначальный доступ осуществлялся с использованием распыления паролей, голосового фишинга с имитацией службы технической поддержки, а также убеждения пользователей установить инструменты RMM, такие как AnyDesk. Актор также использовал скомпрометированные муниципальные и государственные веб-сайты для размещения программного обеспечения RMM, инфостилеров, замаскированных под налоговые или кассовые документы, и бэкдоров XWORM. В розничные сети напрямую подключались вредоносные аппаратные устройства, а также эксплуатировались уязвимости в серверах JBoss AS. Скомпрометированные государственные веб-сайты выполняют функции как места размещения полезной нагрузки, так и инфраструктуры управления, что помогает обходить фильтрацию на основе репутации доменов.

Для разведки и повышения привилегий BREEZE COMET использует Impacket, ADRecon, ADVipscan, PowerShell и собственный инструмент REALBREEZE для брутфорса LDAP. Группа ищет в файлах хостов, переменных окружения, системах CI/CD и облачных средах учетные данные для конвейеров, API-ключи, облачные токены, административные сертификаты и учетные данные mTLS. Среди поисковых запросов — упоминания boleto, CNAB, remessa, вебхуков Pix и мгновенных платежей. Перемещение внутри компании осуществляется с использованием перехваченных учетных записей служб, RDP, SMB, сетевого сканирования и туннеля COBALTSPIN на Rust, который создает обратный прокси SOCKS5 поверх WebSockets для обхода сегментированных сетей и доступа к финансовой инфраструктуре.

Закрепление обеспечивается с помощью коммерческих инструментов RMM, вредоносных подов Kubernetes и нескольких кастомных бэкдоров. LIGHTPAINT устанавливает и закрепляет соединения SoftEther VPN, изменяя правила файрвола и очищая журналы, связанные с VPN. MILDFROST обеспечивает скрытую DNS-туннелизацию и резервный канал C2, KICKPLATE управляет SOCKS5-туннелями и изменяет механизмы автозагрузки и службы, а BOATBEAM маскирует трафик C2 под HTTPS-сервер IIS. Актор также злоупотребляет запланированными задачами и вредоносными ярлыками, отключает мониторинг в реальном времени Windows Defender, а также очищает журналы событий и каталоги, созданные атакующим.

После получения доступа к финансовым приложениям BREEZE COMET использовал COBALTSPIN и привилегированные учетные записи для проведения волн из сотен мошеннических транзакций в течение 24–48 часов. Меры защиты должны включать MFA, устойчивую к фишингу, NAC и сегментацию сети, контроль приложений, ведение журналов PowerShell и AMSI, ограничение RDP/SMB и исходящего трафика, RBAC и механизмы контроля доступа в Kubernetes, централизованное управление секретами, а также мониторинг несанкционированных RMM-инструментов, туннелирования, создания служб, изменений в файрволе, удаления журналов и поиска учетных данных, связанных с платежами.