BREEZE COMETがブラジルの銀行を攻撃

バンキング型トロイの木馬は通常、個人の一般顧客を標的にします。しかし、BREEZE COMETというグループが選んだのは、それよりもはるかに大規模な標的でした。Google Threat Intelligence Groupが最近、この危険な組織の実態を暴きました。同グループは2024年以降、ブラジルの銀行、フィンテック企業、決済サービス、小売店に相次いで侵入してきました。その主な狙いは、これらの組織を装って大規模な資金送金を直接実行することにあります。

金融ネットワークへの侵入

犯罪者がこうした資金を首尾よく引き出すには、特定のアクセス権が必要です。彼らはRSFN金融ネットワークに侵入し、決済インターフェースを確保しなければなりません。さらに、相互TLS(mTLS)認証証明書も必要になります。同グループはPixシステムを介した送金処理を綿密に調査しています。加えて、STRバックアップシステムやボレト(Boleto)銀行受領書も分析対象です。その上で、確定済みの支払い指示を送信できる権限を持つアカウントを探し出します。

進化する初期侵入の手口

当初の侵入は、単純なパスワードスプレー攻撃や、テクニカルサポートを装った偽の電話連絡から始まることが多くありました。攻撃者は従業員を巧みに説得し、AnyDeskをはじめとするリモート管理ツールをインストールさせていました。その後、BREEZE COMETはより高度な手口を採用するようになります。地方自治体の侵害されたウェブサイト上にXWORMや各種ローダーを直接ホストしたのです。ある注目すべき事例では、悪意のあるデバイスを小売店のローカルネットワークに物理的に接続していました。

内部インフラの探索

インフラ内部への侵入後、同グループは機密データの収集に積極的に取り組みました。Active Directoryから直接、APIキー、クラウドトークン、証明書を窃取したのです。開発環境やCI/CDパイプラインも標的にしていました。分離されたネットワークセグメント間を横方向に移動する際にはCOBALTSPINを利用していました。このツールはRustで完全に書かれたネットワークトンネルとして機能します。さらに、Java、Nim、Goで開発された複数のカスタムバックドアも展開していました。これらのバックドアは冗長なアクセス経路を確保しつつ、悪意のあるトラフィックを通常のサービスに巧妙に偽装していました。

強奪の実行

コアバンキングシステムへのアクセスを獲得した後、BREEZE COMETは迅速に行動しました。数百件にのぼる不正送金を2つの異なる連続作戦として実行したのです。これらの大規模な作戦は、わずか24時間から48時間という短い期間で完了しました。少なくとも1件の確認済み事例では、同グループは数万ドル規模の資金を盗み出すことに成功しています。資金を引き出した後、攻撃者はイベントログを念入りに消去しました。決済インターフェースとのやり取りを完全に隠蔽するため、作成したディレクトリも削除していました。

AIの活用と防御策

Googleの調査員は、生成AIの使用を示す有力な証拠も発見しました。同グループは偵察スクリプトの作成や複雑な銀行情報の確認にAIを活用していました。さらに、複数のネットワークにツールを同時展開する際にもAIを使っていたことが判明しています。セキュリティ専門家は、こうした高度な手口への対策として強力な推奨事項を提示しています。組織はまず、許可されていないリモートアクセスツールを即座にすべてブロックする必要があります。フィッシング耐性を備えた強固な多要素認証の導入も欠かせません。さらに、使用していないネットワークポートはすべて確実に閉鎖すべきです。最後に、コアとなる決済システムを一般従業員の業務端末から厳格に分離することが極めて重要です。