Breeze Comet провела сотни мошеннических переводов через платёжные системы Бразилии
Breeze Comet провела сотни мошеннических переводов через платёжные системы Бразилии С 2024 года группа Breeze Comet атакует банки, финтех-компании, магазины и платёжные сервисы в Бразилии. Злоумышленники проникают во внутренние системы, через которые проходят операции Pix, STR и Boleto, а затем отправляют деньги от имени пострадавших организаций. 👨💻В некоторых случаях они звонят сотрудникам под видом технической поддержки и убеждают установить AnyDesk. Также используют password spraying, а при обнаружении уязвимых JBoss-серверов загружают через них web shell. ⚙️После проникновения группа ищет доступ к Active Directory, облачной инфраструктуре и платёжным системам. Для перемещения по сети применяются RDP и SMB. Инструмент COBALTSPIN создаёт обратный SOCKS5-прокси через WebSocket, что помогает добраться до сервисов, работающих с финансовыми API. 🗣Получив нужные учётные записи и mTLS-сертификаты, злоумышленники проводят мошеннические операции. Затем очищают журналы событий и удаляют файлы и каталоги, созданные во время атаки. ⚡️Для закрепления Breeze Comet использует разные инструменты: RMM, вредоносные Kubernetes-поды, DNS-туннели и собственные бэкдоры. Исследователи также обнаружили признаки того, что часть вредоносного кода могла быть создана с помощью LLM. #Brazil #Fintech #CyberSecurity #Malware 🤖Бесплатный ChatGPT