Brezilya'nın en gelişmiş tehdit aktörü, ülkenin finansal sistemlerini kolayca aşarak parayı doğrudan kendi hesaplarına aktarıyor. Bir siber suç grubu, ödeme altyapılarını kötüye kullanmak ve yasa dışı işlemler gerçekleştirmek amacıyla Brezilya'daki finansal sistemlere sızmış durumda.
Çoğu hacker parayı dolaylı yollardan, sahte döviz borsaları veya fidye yazılımları aracılığıyla elde etmeye çalışırken, eski adı UNC5669 olan Breeze Comet doğrudan kaynağa yöneliyor. Google Tehdit İstihbarat Grubu (GTIG) ve Mandiant'ın yeni araştırmasına göre grup; finansal hizmetler, fintech, perakende, POS ve e-ticaret şirketlerinin yanı sıra bankaları ve devlet kurumlarını hedef alıyor. Özel zararlı yazılımlar ve yaratıcı sızma taktikleri kullanan grup, işlem sistemlerine girerek tek seferde on binlerce ABD dolarına kadar ödeme başlatabiliyor. Uzmanlar, bu saldırı modelinin diğer ülkelerde de uygulanabileceği konusunda uyarıyor.
Brezilya Kurumsal Ağlarına Sızma Yöntemleri
Mandiant'ın 2024'te gözlemlediği ilk saldırılar, şifre deneme (password spraying) ve BT destek masası kılığında yapılan vishing (sesli kimlik avı) aramaları gibi standart yöntemlerle başladı. Amaç, hedef organizasyonların içine uzaktan izleme ve yönetim (RMM) yazılımları kurmaktı. Bu basit taktikler, grubun aslında ne kadar sofistike ve kararlı olduğunu gizledi.
2025 yılında tehdit istihbaratı firması Axur'un araştırmacıları, hackerların hedef şirketlerdeki içeriden kişilerle iş birliği yapmaya çalıştığını keşfetti. Bazı vakalarda ise saldırganlar, ilk erişim noktalarını oluşturmak için kendi donanımlarını doğrudan perakende mağaza ağlarına bağladılar. GTIG'in Dark Reading'e yaptığı açıklamaya göre, fiziksel portlara bağlanan bu cihazlar, kurumların kendi DHCP sunucularından başarıyla dahili IP adresleri alabildi. Ağ segmentasyonunun eksikliği, tehdit aktörlerinin keşif yapmasına ve kurumsal ağlarda daha geniş bir erişim sağlamasına imkan tanıdı.
GTIG, kurumların bu tür saldırıları önlemek için hızlı önlemler almasını öneriyor. Şube ve perakende noktalarındaki fiziksel Ethernet anahtar portlarında 802.1X Ağ Erişim Kontrolü (NAC) uygulanması, yetkisiz cihazların IP adresi almasını veya dahili alt ağlarda iletişim kurmasını engeller. Ayrıca kullanılmayan ağ portlarının kapatılması, ağ dolaplarına ve halka açık jaklara erişimin fiziksel olarak kısıtlanması tavsiye ediliyor.
Brezilyalı grup, geçen yılın ortalarında en etkili stratejisini bulmuş görünüyor. Güvenliği yetersiz olan küçük Brezilya hükümet web sitelerini tespit edip zararlı yazılımlarını buraya yerleştirdiler ve bu güvenilir alan adlarını kullanarak asıl hedeflerine karşı sosyal mühendislik saldırıları düzenlediler. Endişe verici olan ise grubun bu formülü Nijerya, Paraguay, Gana ve Venezuela gibi ülkelerdeki belediye web sitelerini hackleyerek diğer bölgelerde de denemeye başlaması.
Mandiant ve GTIG araştırmacıları, Breeze Comet'in zararlı yazılımlar geliştirmek için üretken yapay zekâ kullandığına dair kanıtlar buldu. Rapora göre bu durum, operasyonların gelecekteki ölçeğini, hızını ve karmaşıklığını daha da artırabilir.
Breeze Comet Parayı Nasıl Çalıyor?
Sızma aşamasından sonra grup; yetki yükseltme, yanlara doğru hareket etme ve sistemde kalıcılık sağlama amacıyla tasarlanmış özel bir zararlı yazılım cephaneliği kullanıyor. Bunlar arasında LDAP dizin sunucularına kaba kuvvet saldırısı yapan "RealBreeze", kalıcılık için yasal bir VPN kuran "LightPaint" ve Windows servislerini manipüle ederek ek yüklerin kurulumunu kolaylaştıran "KickPlate" yer alıyor.
Grubun en dikkat çekici yazılımı ise "CobaltSpin". Bu araç, ele geçirilen dahili bir makineden komuta-kontrol (C2) altyapısına bir ağ tüneli kurarak, sıkı şekilde segmentlere ayrılmış ve güvenlik duvarlarıyla korunan finansal ağlardan sızabiliyor. Nihai hedef, kurumların ödeme yapmak için kullandığı Pix, Boleto ve Rezerv Transfer Sistemi (STR) gibi finansal uygulamalara ulaşmak.
Infoblox'ta tehdit araştırmacısı olan Zach Edwards, grubun Brezilya'nın anlık ödeme sistemini çok iyi bildiğini ve bu konuda uzmanlaştığını vurguladı. Edwards'a göre grup, Pix'in her kurulumunun farklı olduğunu biliyor; bu yüzden kurumun yetkilendirme ve dolandırıcılık önleme süreçlerini inceleyerek, sistemleri tetiklemeden nasıl toplu veya zamana yayılmış sahte işlemler yapabileceklerini çözüyorlar.
Süreç nakde çevirme aşamasıyla bitiyor. Araştırmacıların gözlemlediği bir vakada Breeze Comet, ödeme sistemine erişim sağladıktan sonra 24 ila 48 saat içinde yüzlerce sahte işlem gerçekleştirerek on binlerce dolara eşdeğer Brezilya Reali çaldı.
Edwards, işletmelerin Breeze Comet'in kullandığı tünelleri ve RMM araçlarını takip etmelerini öneriyor. Yetkili bir kullanım amacı yoksa, bu tür uzaktan izleme teknolojilerinin ve müşteri destek alanlarının yasaklanması ve ilgili alan adlarının engellenmesi gerektiği belirtiliyor. Ayrıca, işlem onay iş akışlarının denetlenmesi, iki faktörlü kimlik doğrulama (2FA) veya geçiş anahtarı (passkey) gibi kontrollerin eklenmesi ve işlemlerin sadece bir API çağrısıyla tetiklenemeyecek ikincil bir sürece bağlanması tavsiye ediliyor.
Brezilya'nın Sıra Dışı Siber Suç Dünyası
Breeze Comet'in ortaya çıkışı, 1990'lara dayanan sosyoekonomik faktörlerin bir sonucu olarak değerlendiriliyor. TrendAI'da yapay zekâ güvenliği ve tehdit araştırmaları başkan yardımcısı Tom Kellermann, Brezilya'nın 90'larda yaşadığı hiperenflasyon nedeniyle çocuklara bilgisayar kullanımının öğretildiğini ve bilgisayar biliminin okullarda zorunlu hale geldiğini anlattı.
Kellermann, Brezilya'nın 1995'te Latin Amerika'da elektronik finansa geçen ilk ülke olduğunu, ancak bu dijitalleşmeye rağmen gençlerin iş bulamadığını belirtti. Bu durum, 1998'den itibaren bankaları hedef alan güçlü bir organize siber suç topluluğunun gelişmesine yol açtı. Daha sonra birçok Latin Amerika ve İspanyolca konuşulan ülke bankası, Brezilya'daki büyük uyuşturucu ve hapishane çeteleriyle bağlantılı organize grupların saldırılarına maruz kaldı.
Kellermann'a göre Brezilyalı tehdit aktörleri, günümüzde İran ve Kuzey Kore gibi uluslararası siber suç merkezleriyle eşit veya onlardan daha büyük bir tehdit oluşturuyor. Breeze Comet ise diğer Brezilyalı grupların da ötesinde bir seviyede. Latin Amerika'nın en önemli tehdit aktörü olduğunu savunan Kellermann, finansal kurumlara yönelik bu saldırı modelinin diğer sektörlerde de kopyalanabileceği konusunda uyardı.
