ブラジルの金融機関が、BREEZE COMETという名称で追跡されているサイバー犯罪グループによる脅威の高まりに直面しています。Mandiantは2024年以降、ブラジルの金融サービス、小売、eコマース企業を狙った攻撃を調査してきました。
このグループは金銭目的であり、決済処理が可能なシステムへの侵入に焦点を当てています。BREEZE COMETは以前UNC5669として知られており、Plump SpiderおよびSHADOW-AETHER-064として報告された活動と関連付けられています。
その狙いは、個人顧客を対象とした通常の銀行詐欺ではありません。代わりに、銀行ソフトウェア、決済API、そしてブラジルの決済インフラに直接アクセスできる組織への侵入を試みます。
攻撃者は銀行、決済処理業者、フィンテック企業、取引所、小売業者、銀行ソフトウェアプロバイダーを標的としています。Pix、STR、Boletoなどの取引プラットフォームに接続されたシステムへのアクセスを狙っています。
侵入に成功すると、盗んだ認証情報や特権アカウントを悪用し、正規の組織になりすまして不正送金を実行する可能性があります。
このグループが詐欺行為を完遂するには、いくつかの要素が必要です。ブラジルの国家金融システムネットワークへのアクセス、有効なmTLS証明書、Active Directoryまたはクラウドアカウントへの持続的アクセス、そして被害組織の決済プロセスに関する知識です。
これにより、一般的なフィッシングキャンペーンよりも攻撃は複雑になりますが、その分被害はさらに甚大になる可能性があります。
BREEZE COMETは、初期侵入のためにパスワードスプレー攻撃、ボイスフィッシング、悪意あるリモート管理ツール、不正なハードウェアデバイスを使用してきました。
いくつかのケースでは、攻撃者がITサポート担当者になりすまし、被害者を説得してAnyDeskなどのツールをインストールさせました。
同グループはまた、侵害されたブラジル政府のウェブサイトを悪用し、税務書類や支払い領収書に偽装したマルウェアをホスティングしていました。こうした信頼性の高いドメインを利用することで、攻撃者はレピュテーションベースのセキュリティフィルターを回避することができました。
研究者たちは、ナイジェリア、パラグアイ、ガーナ、ベネズエラの政府ドメインに関連する類似の悪意あるインフラも発見しており、このグループがブラジル国外へも活動範囲を広げている可能性を示唆しています。
ネットワークへの侵入後、BREEZE COMETは公開ツールと独自マルウェアの両方を用いて、システムのマッピング、認証情報の窃取、デバイス間の横移動を行います。
開発環境やクラウド環境を探索し、APIキー、CI/CD認証情報、クラウドトークン、管理者証明書、そして金融取引の承認に使われるmTLS認証情報を探し出します。
同グループの独自ツールキットには、LDAPブルートフォースツールのREALBREEZE、Rust製ネットワークトンネリングツールのCOBALTSPIN、持続的なVPNアクセスをインストールするJava製バックドアのLIGHTPAINT、DNSトンネリング型バックドアのMILDFROST、Windows Updateツールを模倣するNim製マルウェアファミリーのKICKPLATE、そして偽のIISウェブサーバーの背後にC2通信を隠すGolang製バックドアのBOATBEAMが含まれます。
研究者たちはまた、同グループがカスタムスクリプトの作成に生成AIや大規模言語モデル(LLM)を利用している証拠も発見しました。
これらのスクリプトは、ネットワークスキャン、認証情報の確認、マルウェア展開、被害者ごとのルーティング、データ収集の自動化に役立っています。
AIの活用により、攻撃者はより迅速にツールを開発し、複数の被害組織の環境に対して同時に攻撃を仕掛けられるようになった可能性があると、Google Cloudは述べています。
注記: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/ai-malware-targets-brazil/
