REEZE COMET é o nome usado pelo Google Threat Intelligence Group para acompanhar um ator financeiramente motivado que compromete organizações brasileiras com acesso a sistemas como Pix, STR e boleto.
O ponto mais relevante não é apenas o malware usado. Diferentemente de fraudes concentradas no cliente final, a operação busca chegar à infraestrutura que processa e autentica transações: contas privilegiadas, aplicações financeiras, pipelines, certificados e credenciais mTLS.
A cadeia pode começar com vishing, password spraying, instalação de RMM, site confiável comprometido ou até um dispositivo conectado fisicamente à rede. Depois, o grupo usa contas válidas, PowerShell, RDP, SMB e malware de tunelamento para avançar até os segmentos financeiros.
Em ambientes com muito ruído, uma detecção isolada de AnyDesk, PowerShell ou acesso a um serviço público de notas pode ser pouco conclusiva. O sinal ganha prioridade quando aparece junto de:
- Logon anômalo com conta privilegiada ou de serviço.
- Descoberta de Active Directory e varredura de compartilhamentos SMB.
- Busca por arquivos ou variáveis relacionados a Pix, boleto, CNAB e remessa.
- Leitura ou uso incomum de certificados e credenciais mTLS.
- Criação de túneis WebSocket, DNS ou SOCKS5.
- Alterações de firewall, serviços, tarefas agendadas ou controles de endpoint.
- Interação atípica com APIs e gateways de pagamento.
A implementação varia conforme o ambiente. Instituições reguladas podem ter telemetria de HSM, assinatura e gateway; varejistas e fornecedores menores talvez precisem começar por identidade, endpoint, egress e segregação administrativa.
Como sua organização conecta os alertas do SOC aos sinais de fraude? Há detecções para uso anômalo de certificados, assinatura de ordens ou acesso aos componentes que enviam transações?
» Análise completa: https://datarunk.com/runk-feed/breeze-comet-ameaca-sistemas-de-pagamento-no-brasil/
Source: r/u/DataRunk_Cyber · by /u/DataRunk_Cyber