Die ersten von Mandiant beobachteten Angriffe von Breeze Comet stammen aus dem Jahr 2024 und begannen mit unauffälligen Mitteln: Password Spraying sowie Anrufe, bei denen sich die Täter als IT-Support ausgaben, um Software zur Fernwartung und -überwachung (RMM) in den Zielorganisationen zu installieren. 2025 stellten Forscher der Threat-Intelligence-Firma Axur fest, dass die Gruppe zusätzlich versuchte, Insider bei Zielunternehmen zu rekrutieren.
In anderen Fällen schlossen die Angreifer eigene Hardware direkt an Netzwerke von Einzelhandelsfilialen an. „Nach dem Anschluss an physische Ports forderten die Fremdgeräte interne IP-Adressen an und erhielten sie von den DHCP-Servern der Organisationen selbst zugewiesen", erklärte GTIG gegenüber Dark Reading. Fehlende Netzsegmentierung habe es den Akteuren erlaubt, von diesem Punkt aus das Unternehmensnetz auszukundschaften und ihren Zugriff auszuweiten.
GTIG empfiehlt als Gegenmaßnahme, 802.1X-Netzwerkzugangskontrolle an physischen Ethernet-Switch-Ports in Filialen und Verkaufsstellen einzusetzen, damit unbefugte Geräte keine IP-Adresse erhalten und nicht in internen Subnetzen kommunizieren können. Ergänzend sollten unbenutzte Switch-Ports abgeschaltet und Netzwerkschränke sowie öffentlich zugängliche Anschlussdosen physisch gesichert werden.
Als wirksamste Einbruchsstrategie erwies sich für die Gruppe ein anderer Weg: Sie identifizierte kleine, schlecht gesicherte brasilianische Behördenwebsites, hinterlegte dort ihre Schadsoftware und nutzte die vertrauenswürdigen Domains anschließend für Social-Engineering-Angriffe auf die eigentlichen Ziele. Genau dieses Muster versucht sie nun auch mit kommunalen Websites in Nigeria, Paraguay, Ghana und Venezuela. Mandiant und GTIG fanden zudem Hinweise darauf, dass Breeze Comet generative KI zur Entwicklung ihrer Schadsoftware einsetzt, was laut Bericht „Umfang, Geschwindigkeit und Raffinesse ihrer Operationen künftig weiter steigern könnte".
Nach dem Eindringen kommt ein ganzes Arsenal maßgeschneiderter Werkzeuge für Rechteausweitung, Bewegung im Netz und Persistenz zum Einsatz. „RealBreeze" attackiert LDAP-Verzeichnisserver per Brute Force, „LightPaint" installiert ein legitimes VPN zur Verankerung, und „KickPlate" tarnt sich als Windows Update Health Tools, verändert Windows-Dienste und Registry-Autostart-Schlüssel und ermöglicht das Nachladen weiterer Schadmodule. „CobaltSpin" schließlich baut von einer kompromittierten internen Maschine einen Netzwerktunnel zur Kommandoinfrastruktur auf und umgeht so streng segmentierte und mit Firewalls abgeschottete Finanznetze — mit dem Ziel, die Anwendungen für Zahlungsauslösung zu erreichen.
„Diese Gruppe sind Experten für Brasiliens Echtzeit-Zahlungssystem — sie kennen es in und auswendig", sagt Zach Edwards, Threat Researcher bei Infoblox, dem Mutterkonzern von Axur. Jede Pix-Installation sei leicht anders, daher studiere die Gruppe die Autorisierungs- und Betrugserkennungsprozesse eines Opfers, um Transaktionen entweder in großen Schüben oder tröpfchenweise durchzubringen, ohne Alarm auszulösen. In einem beobachteten Fall führte Breeze Comet innerhalb von 24 bis 48 Stunden nach dem Zugriff auf ein Zahlungssystem hunderte betrügerische Transaktionen aus und entwendete einen Betrag in Real im Gegenwert von mehreren zehntausend Dollar.
Edwards rät Unternehmen, die genutzten Tunnel und RMM-Werkzeuge aufzuspüren: Wer keinen legitimen Bedarf an Fernwartungstechnik habe, solle sie verbieten und die zugehörigen Domains sperren. Zudem sollten Freigabeprozesse für Transaktionen geprüft werden, etwa durch Zwei-Faktor-Authentifizierung oder Passkeys, damit ein API-Aufruf allein keine Zahlung auslösen kann.
Tom Kellermann, Vice President für KI-Sicherheit und Threat Research bei TrendAI, das die Aktivitäten ebenfalls in diesem Jahr beobachtete, führt die Szene auf die Hyperinflation der 1990er Jahre zurück: Informatik wurde damals Pflichtfach in brasilianischen Schulen, 1995 war das Land das erste Lateinamerikas mit elektronischem Finanzwesen. „Geld wurde digital, aber die Kinder bekamen keine Jobs" — ab etwa 1998 entstand eine organisierte Cybercrime-Szene mit Verbindungen zu Drogen- und Gefängnisbanden. Breeze Comet sei „der bedeutendste Bedrohungsakteur in Lateinamerika", und das Modell lasse sich auf andere Sektoren übertragen.