Breeze Comet erstellt Angriffsskripte mit LLMs

Breeze Comet ist der Name einer Hackergruppe, die zuvor als UNC5669 identifiziert wurde. Ihre Aktivitäten lassen sich bis in das Jahr 2024 zurückverfolgen. Seit 2024 konzentrieren sich die Angriffe laut den vorliegenden Branchenberichten vor allem auf Finanzdienstleister, den Einzelhandel und E-Commerce-Unternehmen in Brasilien.

Die Gruppierung zielt auf zentrale Zahlungssysteme wie Pix, STR und Boleto. Dabei leitet sie unberechtigte Überweisungen ein und entwendet Gelder. Ein besonderer Schwerpunkt liegt auf dem Diebstahl von mTLS-Zugangsdaten. Diese Zugangsdaten dienen der Authentifizierung innerhalb der brasilianischen Finanzinfrastruktur, unter anderem beim Sofortzahlungssystem Pix.

Breeze Comet setzt Large Language Models (LLMs) ein, um Skripte für ihre Angriffswerkzeuge zu erstellen. Die KI-Nutzung ist damit Bestandteil der Entwicklung und Anpassung von Schadsoftware für die Operationen der Gruppe. Nach den Quellen ermöglicht dieser Einsatz, Angriffswerkzeuge effizienter zu gestalten und technologische Hürden schneller zu überwinden.

Die Gruppe verwendet ein breites Spektrum spezialisierter Schadsoftware. Genannt werden COBALTSPIN, MILDFROST, KICKPLATE, BOATBEAM und XWORM. Zusätzlich kommen maßgeschneiderte Werkzeuge wie REALBREEZE und LIGHTPAINT zum Einsatz.

Die Verteilung der Schadsoftware erfolgt häufig über zuvor kompromittierte Websites. Nach dem Zugriff auf Systeme eines Unternehmens handeln die Angreifer schnell. Betrügerische Transaktionen werden laut den Quellen oft innerhalb von 24 bis 48 Stunden nach dem ersten Eindringen abgeschlossen.

Technisch richtet sich das Vorgehen auf Zugangsdaten und Systeme, die für Zahlungsprozesse relevant sind. Die Manipulation von Pix, STR und Boleto dient dazu, unberechtigte Überweisungen einzuleiten. Im Jahr 2025 erweiterte die Gruppe ihr Vorgehen erstmals um physische Angriffe auf Hardware-Komponenten.

Sicherheitsanalysten beobachten signifikante Überschneidungen der Methodik mit den Bedrohungsakteuren Plump Spider und SHADOW-AETHER-064. Die Quellen ordnen Breeze Comet damit in eine stärker vernetzte und professionalisierte Cyberkriminalität ein, die auf den südamerikanischen Finanzmarkt ausgerichtet ist.

Breeze Comet hat in den vergangenen Jahren hunderte betrügerische Transaktionen innerhalb brasilianischer Zahlungssysteme durchgeführt. Die durch die Gruppierung verursachten Verluste belaufen sich den Berichten zufolge insgesamt auf Millionenbeträge. In mindestens einem dokumentierten Fall entwendeten die Angreifer mehrere zehntausend US-Dollar.

Die schnelle Durchführung nach der initialen Kompromittierung verkürzt das Zeitfenster für eine Reaktion der betroffenen Unternehmen. Die kontinuierliche Manipulation etablierter Zahlungswege wie Boleto und der staatlich regulierten STR-Systeme zeigt die Ausrichtung auf zentrale Bestandteile des brasilianischen Finanzwesens.

Der dokumentierte KI-Einsatz betrifft die Erstellung von Skripten für Angriffswerkzeuge und steht im Zusammenhang mit einer größeren Schadsoftware-Infrastruktur. Die Quellen belegen den Einsatz von LLMs bei Breeze Comet, nennen jedoch keine konkreten Modelle, keine einzelnen generierten Skripte und keine isolierte Schadenssumme, die ausschließlich auf den KI-Einsatz zurückgeführt wird.