Den Erstzugang beschafft sich Breeze Comet auf zwei Wegen: über Password Spraying sowie über Telefonanrufe, bei denen sich die Angreifer als IT-Support ausgeben und ihre Opfer zur Installation von Fernwartungssoftware wie AnyDesk überreden. Axur beschrieb im November 2025 einen Fall, in dem sich die Täter in einem WhatsApp-Chat als IT-Mitarbeiter ausgaben und das Opfer unter dem Vorwand eines Updates für eine Unternehmensanwendung dazu brachten, ein PowerShell-Skript zur Erkundung des Systems auszuführen.
Alternativ nimmt die Gruppe verwundbare JBoss-AS-Server ins Visier, platziert dort Web-Shells und lädt darüber weitere Werkzeuge nach – darunter Chisel und andere Proxy-Utilities für die anschließende Ausnutzung.
Um ihr Ziel zu erreichen, muss die Gruppe laut der Analyse vier Voraussetzungen erfüllen: Zugang zum brasilianischen Finanznetz RSFN über eine Einrichtung, die diesen Zugang bereits besitzt; Zugriff auf mTLS-Anmeldedaten, mit denen sich authentifizierte Transaktionsaufträge an Pix oder STR senden lassen; Zugriff auf mehrere Konten in den Active-Directory- und Cloud-Umgebungen der Zielorganisation; sowie Kenntnis der internen Abläufe zur Überweisungsverarbeitung, der Netzwerkkontrollen, Fintech-Integrationen und Betrugserkennungssysteme.
“Die Taktiken von Breeze Comet haben sich im Lauf der Zeit weiterentwickelt und setzen inzwischen auf eine maßgeschneiderte Schadsoftware-Sammlung sowie auf kompromittierte, vertrauenswürdige Websites, um Erstzugang, Command-and-Control und die Interaktion mit Finanzsoftware und Zahlungs-APIs zu ermöglichen”, erklärt Google.
Eine zentrale Rolle spielt dabei das Werkzeug COBALTSPIN. Es baut einen umgekehrten SOCKS5-Proxy über eine WebSocket-Verbindung auf und leitet den Netzwerkverkehr zwischen C2-Server und internen Zielen hin und her. Damit ist laut Google seitliche Bewegung direkt durch Perimeter-Firewalls hindurch möglich, ohne dass fest eingebaute Persistenzmechanismen nötig wären, die eine Erkennung auslösen könnten.
Auch die Persistenz hat sich gewandelt: 2024 setzte die Gruppe noch kommerzielle Fernwartungswerkzeuge ab, ein Jahr später bösartige Kubernetes-Pods. Cloud-Geheimnisse exfiltriert sie auf öffentlich erreichbare Notizdienste wie “dontpad[.]com”. Hinzugekommen sind mehrere eigene Backdoors als redundanter Zugangsweg. Damit die Hintertüren nicht auffallen, deaktivieren die Angreifer per PowerShell die Echtzeitüberwachung von Windows Defender.
In der Endphase greifen die Täter mit COBALTSPIN und übernommenen privilegierten Konten auf zentrale Finanzanwendungen zu und führen Hunderte betrügerischer Transaktionen aus. Anschließend löschen sie Ereignisprotokolle sowie sämtliche im Verlauf des Einbruchs angelegten Verzeichnisse, um die API-Zugriffe auf Finanzsoftware und Zahlungssysteme zu verschleiern.
Auffällig sind ausführliche erklärende Kommentare und standardisierte Ausführungs-Header im Code – ein Hinweis darauf, dass ein großes Sprachmodell den Entwicklungszyklus der Schadsoftware verkürzt hat. Eine frühere Trend-Micro-Analyse vom Mai 2026 fand in einigen Skripten zudem “Beschreibungen von Selbstreflexions- und autonomen Entscheidungsprozessen”.
Google ordnet die Kampagnen als Bruch mit der bisherigen Praxis in der Region ein: Während das lateinamerikanische Cybercrime-Ökosystem historisch von clientseitigem Massenbetrug im Privatkundengeschäft geprägt war, dringe Breeze Comet direkt in den zentralen Zahlungsverkehr und die Infrastruktur für Echtzeitzahlungen ein. Da Angreifergruppen zunehmend Sprachmodelle für Routinearbeit nutzten, müssten Verteidiger mit kürzeren Reaktionszeiten der Gegenseite rechnen.