¿Confías en las llamadas del soporte técnico? Enhorabuena: ahora mismo están vaciando las cuentas de tu empresa.

Los troyanos bancarios suelen atacar a clientes, pero BREEZE COMET escogió un objetivo mayor. Google Threat Intelligence Group reveló un grupo que desde 2024 se infiltra en bancos, empresas fintech, servicios de pago y comercios de Brasil para realizar transferencias en nombre de las propias organizaciones.

Para extraer dinero, los atacantes necesitan acceso a la red financiera RSFN, a las interfaces de pago y a los certificados de autenticación mutua mTLS. El grupo estudia los procesos de procesamiento de transferencias a través de Pix, el sistema de respaldo STR y los boletos bancarios Boleto, y luego busca cuentas capaces de enviar órdenes de pago confirmadas.

Las primeras intrusiones comenzaron con ataques de fuerza bruta a contraseñas y llamadas haciéndose pasar por soporte técnico. Convencían al personal para que instalara AnyDesk y otras herramientas de acceso remoto. Más tarde, BREEZE COMET empezó a colocar XWORM y cargadores en sitios web municipales comprometidos, y en un caso conectó un dispositivo malicioso directamente a la red de una tienda minorista.

Dentro de la infraestructura, el grupo robaba claves API, tokens en la nube y certificados de Active Directory, entornos de desarrollo y canalizaciones de CI/CD. Para desplazarse entre segmentos aislados empleaba COBALTSPIN, un túnel de red escrito en Rust. Varias puertas traseras propias en Java, Nim y Go mantenían canales de acceso de reserva y camuflaban el tráfico como servicios habituales.

Tras obtener acceso al sistema bancario principal, BREEZE COMET realizó dos series de cientos de transferencias no autorizadas en el transcurso de 24–48 horas. Al menos en un episodio confirmado el grupo se apropió de decenas de miles de dólares. Tras la extracción de fondos, los atacantes limpiaban los registros de eventos y eliminaban los directorios creados, ocultando su actividad en las interfaces de pago.

Google también encontró indicios del uso de IA generativa para preparar escenarios de inteligencia, verificar credenciales y desplegar herramientas simultáneamente en varias redes. Para protegerse, se recomienda a las organizaciones bloquear herramientas de acceso remoto no autorizadas, implementar autenticación multifactor resistente al phishing, cerrar puertos de red no utilizados y separar los sistemas de pago de las estaciones de trabajo.