ハッカーがブラジルの金融機関に侵入、数百件の不正取引を実行

金銭目的の脅威アクター「BREEZE COMET」がブラジルの金融、小売、eコマース企業に侵入し、決済プラットフォームへの特権アクセスを悪用して、綿密にタイミングを計った複数の波状攻撃で数百件の不正取引を実行していたことが分かりました。

この活動は、公にPlump SpiderおよびSHADOW-AETHER-064として識別されているクラスターと重複していますが、GTIGの報告書ではこれを確定的な帰属ではなく、活動の重複と位置づけています。

今回のキャンペーンは、大量発生型の消費者向け詐欺から、コアバンキング、決済処理、即時送金インフラを運用する組織そのものへの直接侵害へと、大きく手口を進化させたことを示しています。

BREEZE COMETは、銀行ソフトウェア、API、決済システムを通じて取引を発生・処理できる組織を標的にしています。

被害者のプロファイルには、銀行、決済処理業者、小売業者、暗号資産取引所、フィンテック企業、銀行ソフトウェアプロバイダーが含まれます。

同グループの狙いは単に認証情報を盗むことではありません。国家金融システムネットワーク(RSFN)や、有効な相互TLS認証情報、そしてPix、ブラジル準備金振替システム(STR)、または関連する取引リスナーに対して認証済みの決済指示を送信できる特権アカウントへのアクセスを狙っています。

これにより、攻撃者は正規組織になりすまし、その保有資金を使って不正送金を作成できるようになります。

Mandiantによると、同アクターは各被害者の決済ワークフロー、不正防止管理、フィンテック連携、ネットワークセグメンテーション、取引承認プロセスの把握にも力を入れているとのことです。

この偵察活動により、同グループは被害者環境内に十分な期間とどまり、高額詐欺に必要なシステムと証明書を特定できるようになります。

この侵入活動では、パスワードスプレー攻撃やボイスフィッシングが用いられており、その中にはITサポート担当者になりすました電話で被害者を騙し、AnyDeskなどのリモート監視・管理ツールをインストールさせる手口も含まれています。

研究者らはまた、同グループが侵害したブラジルの自治体ウェブサイト上にRMMユーティリティ、インフォスティーラー、XWORMペイロードを配置し、悪意あるファイルが信頼された政府インフラから発信されているように見せかけている様子も確認しています。

別の事例では、BREEZE COMETが不正なハードウェアを小売店のネットワークに直接接続し、そこから内部システムへ横展開していました。

Google Threat Intelligence Group(GTIG)とMandiantによると、以前はUNC5669として追跡されていた同グループは、少なくとも2024年以降、ブラジルのPix、STR、Boleto取引エコシステムにアクセス権を持つ組織を標的にしてきました。

Trend Microも、重複する活動を脆弱なJBoss Application Serverインスタンスの悪用と関連付けています。

攻撃者らは、侵害した政府系サイトのインフラパターンをナイジェリア、パラグアイ、ガーナ、ベネズエラの自治体ドメインでも再現しており、ブラジル国外にもより広範な活動範囲が及んでいる可能性を示しています。

ブラジルの金融機関

被害者ネットワークの内部では、同グループはImpacket、ADRecon、ADVipscanといったツールを使用し、多くの場合PowerShellを通じてメモリ上で実行しています。

REALBREEZEと名付けられた独自のLDAPブルートフォースツールが、パイプライン認証情報、APIキー、クラウドトークン、管理証明書、mTLS関連資料の探索と併せて使用されています。

確認された検索キーワードには、boleto、cnab、remessa、webhook.*pix、instant.*paymentなどが含まれます。

BREEZE COMETは、監視の回避とアクセスの維持のために、複数の言語で構築されたマルウェアスイートを使用しています。

アンチウイルスとマルウェア

Rust製のトンネリングツール「COBALTSPIN」は、WebSocket接続を通じてリバースSOCKS5プロキシを作成し、攻撃者が従来の永続化手法に頼ることなく内部の金融API基盤にアクセスし、ネットワーク境界を越えて移動できるようにします。

その他の専用インプラントとしては、正規のVPNをインストールして永続化させるJava製バックドア「LIGHTPAINT」、Java製のDNSトンネリングを用いたフォールバックチャネル「MILDFROST」、Windows Update Health Toolsに偽装したNim製バックドア「KICKPLATE」、そして「BOATBEAM」があります。

BOATBEAMは、偽のIIS HTTPSサーバーを稼働させ、特定のセッションクッキーを受け取った時にのみ活動を開始するGolang製インプラントです。

同グループはまた、悪意あるKubernetesポッドを展開してクラウドの秘密情報を盗み出し、公開のメモ帳サービスを通じて外部に持ち出す手口も用いています。

研究者らは、攻撃者がMicrosoft Defenderのリアルタイム監視を無効化し、VPNおよびWindowsのイベントログを消去し、攻撃者が作成したディレクトリを削除する一方、スケジュールタスク、レジストリの自動起動キー、サービス設定の変更、RDP、SMB共有を悪用して足場を維持していることを確認しています。

フォレンジック調査の結果、BREEZE COMETは侵害した特権アカウントとCOBALTSPINを使ってコアとなる金融アプリケーションにアクセスしていたことが判明しています。

Mandiantが確認した顧客からの報告と第三者によるフォレンジック分析によると、そのレベルのアクセス権を獲得してから24時間から48時間以内に、同グループは2回の波状攻撃を実行し、合計で数百件の不正取引を行いました。

GTIGによると、同アクターはこれまでに少なくとも1件、数万米ドル規模の資産を盗み出す窃取に成功しているとのことです。

この報告された規模は、ブラジルの決済業界における他の事案と混同すべきではありません。今回の脅威インテリジェンス報告書は、確認されたBREEZE COMETによる窃取事件をこの比較的低めに公表された金額に帰属させています。

同グループはまた、大規模言語モデル(LLM)を利用して、偵察、認証情報の検証、展開の自動化、被害者ごとに合わせた横展開、データ抽出を迅速化しています。

Mandiantによると、回収されたスクリプトには、冗長なコメント、標準化されたヘッダー、繰り返しの多いコード構造など、AI支援による開発を示す特徴が見られたとのことです。

金融機関にとって、今回のキャンペーンは、取引署名用証明書の保護、決済APIの分離、無許可のRMM利用の監視、ユーザーが書き込み可能なディレクトリからの実行制限、アプリケーション制御の適用、異常な証明書アクセスや外部向けトンネリングの検知といった対策の必要性を改めて浮き彫りにしています。

BREEZE COMETは、信頼された決済権限を手に入れた攻撃者が、通常の企業侵入を迅速かつ大規模な金融窃盗へと転化させ得ることを示す事例と言えます。

侵害指標(IoC)

注: IPアドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(defang、例: [.])されています。再度有効な表記に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ どのセキュリティツールを削るべきか?1ページでスコア化 – 「継承されたセキュリティスタック」ガイドをダウンロード

Microsoftセキュリティ更新プログラム