https://cyberveille.ch/tags/kickplate/ Recent content in KICKPLATE on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 01 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-01-breeze-comet-acteur-cybercriminel-financierement-motive-ciblant-le-secteur-financier-bresilien/ Tue, 01 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-01-breeze-comet-acteur-cybercriminel-financierement-motive-ciblant-le-secteur-financier-bresilien/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 1er septembre 2026 par Google Threat Intelligence Group (GTIG) et Mandiant, cet article présente une analyse approfondie de <strong>BREEZE COMET</strong> (anciennement UNC5669), un acteur cybercriminel financièrement motivé actif depuis 2024. L&rsquo;activité chevauche des opérations publiquement rapportées sous les noms <strong>Plump Spider</strong> et <strong>SHADOW-AETHER-064</strong>.</p> <h2 id="-ciblage-et-objectifs">🎯 Ciblage et objectifs</h2> <p>BREEZE COMET cible principalement les organisations brésiliennes disposant d&rsquo;accès aux systèmes de paiement et bancaires :</p> <ul> <li><strong>Banques, processeurs de paiement, retailers, exchanges, fintechs</strong></li> <li>Systèmes visés : <strong>Pix, STR (Système de Transfert de Réserves Brésilien), Boleto</strong></li> <li>Accès au <strong>Réseau National du Secteur Financier (RSFN)</strong> et aux <strong>credentials mTLS</strong></li> <li>L&rsquo;infrastructure opérationnelle suggère une expansion vers <strong>l&rsquo;Amérique Latine et l&rsquo;Afrique</strong></li> </ul> <h2 id="-accès-initial">🚪 Accès initial</h2> <ul> <li><strong>Password spraying</strong> et <strong>vishing</strong> (appels vocaux se faisant passer pour le support IT) pour convaincre les victimes d&rsquo;installer des outils RMM (AnyDesk)</li> <li>Tentatives de <strong>recrutement d&rsquo;initiés</strong> dans les organisations ciblées</li> <li>Utilisation de <strong>sites gouvernementaux brésiliens compromis</strong> pour héberger des infostealers déguisés en documents fiscaux (ex: <code>ComprovantePDF.exe</code>) et des backdoors (<strong>XWORM</strong>)</li> <li><strong>Connexion de dispositifs matériels non autorisés</strong> directement dans les réseaux de magasins de détail</li> <li>Exploitation de <strong>vulnérabilités dans des serveurs JBoss AS</strong></li> <li>Réplication du comportement sur des domaines municipaux au <strong>Nigeria, Paraguay, Ghana et Venezuela</strong></li> </ul> <h2 id="-escalade-de-privilèges-et-reconnaissance">⬆️ Escalade de privilèges et reconnaissance</h2> <ul> <li>Outils publics : <strong>Impacket, ADRecon, ADVipscan</strong>, exécutés en mémoire via <strong>PowerShell</strong></li> <li>Outil custom de brute-force LDAP : <strong>REALBREEZE</strong></li> <li>Ciblage des environnements <strong>CI/CD</strong> pour voler des credentials de pipeline, clés API et tokens cloud</li> <li>Scripts personnalisés pour identifier les <strong>credentials mTLS</strong> et certificats administratifs (termes recherchés : <code>boleto</code>, <code>cnab</code>, <code>remessa</code>, <code>webhook.*pix</code>, <code>instant.*payment</code>)</li> </ul> <h2 id="-mouvement-latéral">🔄 Mouvement latéral</h2> <ul> <li>Abus de <strong>RDP</strong> et <strong>SMB</strong> via des comptes de service détournés</li> <li>Déploiement de <strong>COBALTSPIN</strong> : tunneleur réseau en <strong>Rust</strong>, proxy SOCKS5 inverse sur WebSocket pour contourner les firewalls internes</li> </ul> <h2 id="-persistance-et-c2">🏠 Persistance et C2</h2> <p>BREEZE COMET a développé un arsenal de backdoors redondants :</p>