브라질을 표적으로 삼는 금전적 동기의 공격자 BREEZE COMET

*이 콘텐츠는 AI 번역 도구를 사용하여 번역되었습니다. 정확성을 기하기 위해 노력하고 있으나, 자동 번역에는 오류나 누락이 포함될 수 있습니다. 정확한 정보는 영문 원본을 참고해 주시기 바랍니다.

소개 

2024년 초부터 Mandiant는 브라질의 금융 서비스, 소매, 전자상거래 조직에 영향을 미친 일련의 보안 침해 사건을 조사했습니다. Google Threat Intelligence Group(GTIG)은 이 활동을 BREEZE COMET(이전 명칭: UNC5669)으로 추적하고 있습니다. BREEZE COMET은 브라질에서 결제 시스템과 뱅킹 소프트웨어를 조작하여 사기성 송금을 수행하는 데 특화된, 금전적 이득을 노리는 공격자입니다. 이 활동은 공개적으로 보고된 Plump Spider 및 SHADOW-AETHER-064의 작전과 겹치는 부분이 있습니다. 이 블로그에서는 BREEZE COMET의 전술과 툴킷을 자세히 설명하고, 이 활발하고 발전하는 위협에 조직이 대응할 수 있도록 권장 완화 조치와 탐지 방법을 제시합니다.

BREEZE COMET의 전술은 시간이 지남에 따라 발전했습니다. 맞춤형 멀웨어 제품군과 보안이 침해된, 신뢰할 수 있는 웹사이트를 활용하여 초기 액세스, 명령 및 제어(C2)를 용이하게 하고 금융 소프트웨어 및 결제 API와 상호작용하는 방식을 사용한 것입니다. BREEZE COMET의 운영 인프라는 라틴 아메리카와 아프리카의 다른 국가로 인프라를 확장하려는 의도를 시사할 수도 있습니다. 또한 BREEZE COMET이 생성형 인공지능(AI)을 사용하여 멀웨어 개발을 지원하고 있다는 증거가 확인되었으며, 이는 향후 작전의 규모, 속도, 정교함을 더욱 높일 수 있습니다.  

브라질 금융 기술을 표적으로 삼는 BREEZE COMET 

BREEZE COMET 작전은 은행 소프트웨어, API, Pix, STR, Boleto와 같은 결제 시스템을 통해 거래를 수행할 수 있는 권한이 있는 조직을 표적으로 삼습니다. 여기에는 일반적으로 은행, 결제 대행업체, 소매업체, 거래소, 핀테크 및 은행 소프트웨어 제공업체가 포함됩니다. 

BREEZE COMET은 사기성 송금 실행이라는 목표를 달성하기 위해 다음을 유지해야 합니다.

• 해당 액세스 권한이 있는 법인을 통해 국가 금융 시스템 네트워크(Rede Nacional do Setor Financeiro, RSFN)에 액세스합니다.

• Pix, STR(브라질 준비금 이체 시스템) 또는 거래 리스너에 거래 주문과 함께 인증된 페이로드를 전송하여 자금이 있는 조직의 이름으로 최소한의 제한하에 작전을 수행할 수 있도록 하는 mTLS 사용자 인증 정보에 액세스합니다.

• 표적 조직의 Active Directory 및/또는 클라우드 환경에서 여러 계정에 대한 지속적인 액세스 권한을 확보합니다.

• 조직의 이체 처리 절차, 네트워크 제어, 핀테크 통합, 사기 방지 시스템을 이해합니다.

이러한 요구사항을 충족하기 위해 BREEZE COMET은 여러 개의 침해된 환경에서 동시에 작동하도록 진화하였으며 정찰, 측면 이동, 지속성, 유출과 같은 활동을 자동화하는 커스텀 C2 멀웨어를 제작했습니다. 

초기 침해 및 거점 확보

BREEZE COMET은 초기 액세스를 위해 다양한 방법을 사용해 왔습니다. 초기 침해에서 Mandiant는 이 공격자가 비밀번호 스프레이를 사용할 뿐만 아니라, IT 지원팀을 사칭하는 음성 통화를 통해 사용자가 AnyDesk와 같은 원격 모니터링 및 관리(RMM) 도구를 설치하도록 유도한 것을 관찰했습니다. Axur는 보이스 피싱이 사용됐음을 뒷받침하며, 이 그룹이 표적 조직의 내부자를 포섭하고자 시도한 적도 있다고 지적합니다.

2025년 중반, GTIG는 BREEZE COMET이 보안이 침해된 브라질의 소규모 정부 웹사이트를 이용하여 RMM 도구, 합법적인 세금 또는 영수증 문서로 위장한 인포스틸러(예: ComprovantePDF.exe) 또는 자동 시작 바로가기 수정을 통해 지속되도록 설정된 XWORM과 같은 백도어를 스테이징하는 것을 관찰했습니다. XWORM은 사이버 범죄 포럼에서 널리 판매되고 있는 백도어로, 유출되거나 '크랙' 버전도 구할 수 있습니다. 그런 다음 BREEZE COMET은 이렇게 보안이 침해된 정부 웹사이트를 초기 액세스를 위한 소셜 엔지니어링 작업에 이용하고 C2 엔드포인트로 사용했습니다. 공격자는 보안이 침해된, 신뢰할 수 있는 인프라를 사용하여 네트워크 도메인 평판 필터의 탐지를 피할 수 있었습니다. GTIG는 BREEZE COMET이 나이지리아, 파라과이, 가나, 베네수엘라의 지방자치단체 도메인에서도 이러한 행동을 반복하는 것을 관찰했으며, 이는 표적 공격의 범위가 점차 확대되고 있음을 시사합니다. 보안이 침해된 지자체 도메인을 분석한 결과, BREEZE COMET은 여러 조직을 표적으로 삼는 작전 전반에서 XWORM 페이로드를 호스팅하고 전달하기 위해 동일한 스테이징 인프라를 재사용한 것으로 나타났습니다.

2025년, Google Cloud는 BREEZE COMET이 소매점 네트워크에 직접 불량 하드웨어 기기를 연결하여 표적 환경에 발판을 마련하는 것을 처음으로 관찰했습니다. 이 초기 네트워크 액세스를 바탕으로 BREEZE COMET은 내부 시스템으로 측면 이동한 다음, Netcat 유틸리티와 커스텀 스크립트를 다운로드하여 외부 개방형 디렉터리에서 후속 취약점 공격 프레임워크를 가져왔습니다. Trend Micro는 이 그룹이 JBoss AS 서버의 취약점을 악용하여 초기 액세스 권한을 획득했다고 보고했습니다. 

권한 에스컬레이션 및 내부 정찰

BREEZE COMET은 Impacket, ADRecon, ADVipscan과 같은 공개적으로 사용 가능한 정찰 유틸리티와 더불어 커스텀 멀웨어를 사용했으며, 관측 가능성이 낮은 환경을 악용하는 경우가 많았습니다. 이러한 유틸리티는 방어 체계를 회피하기 위해 GitHub 저장소에서 다운로드되어 PowerShell을 통해 메모리에서 실행되는 경우가 많았습니다. 

이 공격자는 커스텀 LDAP 무차별 대입 유틸리티인 REALBREEZE를 배포했습니다. BREEZE COMET은 기존의 Active Directory 침해를 넘어 개발 및 클라우드 환경을 표적으로 삼아 권한을 에스컬레이션합니다. 이 그룹은 지속적 통합 및 지속적 배포(CI/CD) 환경을 적극적으로 마이닝하여 하드 코딩된 파이프라인 사용자 인증 정보, 애플리케이션 프로그래밍 인터페이스(API) 키, 높은 권한을 가진 클라우드 액세스 토큰을 도용합니다.

BREEZE COMET은 맞춤 스크립트를 사용하여 내부 호스트 파일과 환경 변수를 검색함으로써 핵심 뱅킹 시스템에 대한 인증에 필요한 mTLS 사용자 인증 정보와 관리 인증서를 식별했습니다. 관찰된 검색어로는 boleto, cnab, remessa, webhook.*pix, instant.*payment 등이 있었습니다. 

측면 이동

BREEZE COMET은 표준 프로토콜을 악용하여 네트워크를 탐색하고, 탈취한 서비스 계정을 사용하여 승인되지 않은 원격 데스크톱 프로토콜(RDP) 세션을 시작하고 SMB 네트워크 파일 공유를 통해 명령어를 실행합니다. BREEZE COMET은 사용 가능한 SMB 경로를 열거하기 위해 내부 서브넷 전반에서 네트워크 스캔 도구를 실행하는 것으로 확인되었습니다. 

BREEZE COMET은 세분화된 금융 네트워크를 이동하고 엄격한 내부 방화벽을 우회하기 위해 특수한 라우팅 멀웨어인 COBALTSPIN을 배포합니다. Rust로 작성된 COBALTSPIN은 가볍고 탐지를 회피하는 네트워크 터널러로 작동하며, 금융 API 인프라와 통신하고 지속적인 네트워크 액세스를 유지하는 데 사용됩니다. COBALTSPIN은 WebSocket 연결을 통해 역방향 SOCKS5 프록시를 설정하여 C2와 내부 대상 간에 네트워크 트래픽을 안전하게 라우팅합니다. 이를 통해 탐지를 트리거할 수 있는 기본 지속성 메커니즘 없이도 경계 방화벽을 통해 직접 측면 이동을 수행할 수 있습니다.

침투 상태 유지: 맞춤형 C2 프레임워크를 통한 보안 침해 조정

2024년, BREEZE COMET은 표적 환경에 대한 액세스를 유지하기 위해 상용 RMM 도구를 사용했습니다. 2025년, BREEZE COMET은 지속성을 유지하고 클라우드 보안 비밀을 도용하기 위해 악성 Kubernetes 포드를 배포하고 이를 공개 메모장 웹사이트(dontpad[.]com 등)로 유출했습니다. 

2025년과 2026년에 Mandiant는 BREEZE COMET이 표적 환경에서 중복 액세스 경로를 확보하고 표적 환경 내 거점을 확장하기 위해 개발한 여러 백도어를 확인했습니다.  

• LIGHTPAINT: 이 커스텀 Java 기반 백도어는 SoftEther와 같은 합법적인 VPN을 설치하고 자동 지속성을 위해 구성하도록 특별히 설계되었습니다. 이러한 액세스를 보호하기 위해 GTIG는 BREEZE COMET이 프로그래매틱 방식으로 인바운드 Windows Defender 방화벽 규칙을 추가하여 배포된 VPN 관리자의 모든 트래픽을 허용하는 동시에, Windows 네트워킹 VPN 플러그인 플랫폼 이벤트 로그를 지워 연결에 대한 포렌식 증거를 삭제하는 것을 관찰했습니다.

• MILDFROST: JVM 프로세스 공간 내에 숨어 있는 수동 Java JAR 백도어로 작동하는 MILDFROST는 DnsCommandBeacon.class와 같은 클래스를 사용하여 느리고 은밀한 DNS 터널을 설정합니다. 또한 이 도구는 대체 C2 역할을 하며, 위임된 하위 도메인을 동적으로 쿼리하여 명령을 수신하고 C++ 실행 파일의 새 사본을 가져옵니다.

• KICKPLATE: BREEZE COMET은 보조 페이로드를 지속적으로 전송하고 호스트 수준 지속성을 적용하기 위해 KICKPLATE를 사용합니다. 이 커스텀 Nim 기반 백도어는 Windows Update Health Tools를 가장합니다. SOCKS5 터널러를 제어하고, 레지스트리 시작 키를 업데이트하며, Windows 서비스를 자동으로 수정하는 명령어를 실행하는 것입니다. 이 그룹은 네이티브 예약 작업(SYSTEM 권한으로 실행되는 schtasks.exe)을 악용하고 사용자 시작 폴더의 악성 바로가기(.lnk)를 수정하여 KICKPLATE를 보완합니다.

• BOATBEAM: BREEZE COMET은 중복 아키텍처에 최종 레이어를 추가하여 포트 443에서 가짜 IIS HTTPS 서버를 시작하는 Golang 백도어인 BOATBEAM을 배포합니다. 이 아티팩트는 합법적인 웹 서버로 가장하여 백도어 트래픽을 숨기고, 특정 세션 쿠키를 수신할 때만 C2 기능을 활성화합니다.

BREEZE COMET은 이러한 지속성 메커니즘이 유지되도록 엔드포인트 방어 기능을 적극적으로 손상시킵니다. 원격 분석에 따르면 공격자는 직접 PowerShell 명령어(Set-MpPreference -DisableRealtimeMonitoring $true)를 실행하여 보안 침해된 호스트 전반에서 Windows Defender의 실시간 모니터링을 사용 중지하고 멀웨어 제품군이 계속 작동하도록 보장합니다.

또한 Mandiant는 BREEZE COMET이 대규모 언어 모델(LLM)을 사용하여 네트워크 정찰, 사용자 인증 정보 검증, 대량 배포, 피해자별 피벗, 데이터 추출을 위한 커스텀 스크립트 생성을 가속화했다는 증거를 확인했습니다. 복구된 BREEZE COMET 스크립트를 분석한 결과, 이러한 도구는 고도로 맞춤화되고 기능적이지만 인간 고유의 특성이 부족하며, 언롤링된 코드 구조, 상세한 설명 주석, 표준화된 실행 헤더에 크게 의존하는 것으로 나타났습니다.

#!/bin/bash
# RODA DENTRO DO 10.0.9.9 - DIRETO NA REDE INTERNA

echo "###############################################"
echo "### STEP 1: ENUM ALL LINUX (SSH PORT 22) ###"
echo "###############################################"

# Scan SSH em todos os ranges conhecidos
echo "=== SCANNING SSH PORTS ==="
> /tmp/ssh_open.txt

그림 1: 상세한 주석이 포함된 스크립트 발췌문

미션 완료: 대규모 사기성 트랜잭션

Mandiant가 분석한 포렌식 증거에 따르면 BREEZE COMET은 COBALTSPIN을 사용하고 권한이 있는 계정을 탈취하여 핵심 금융 애플리케이션에 액세스했습니다. 고객 및 서드 파티 포렌식 분석 보고에 따르면, 공격자는 이러한 액세스 권한을 확보한 후 24~48시간 이내에 두 차례에 걸쳐 수백 건의 사기성 거래를 실행했습니다. 

이후 BREEZE COMET은 보안 침해된 호스트 전반에서 이벤트 로그를 삭제하여 측면 이동, 권한 에스컬레이션, 금융 소프트웨어 및 결제 시스템과 관련된 API와의 상호작용에 대한 증거를 숨겼습니다. 공격자는 또한 침투 과정에서 생성한 디렉터리를 삭제했습니다. 

전망 및 분석

2024년부터 BREEZE COMET은 브라질 금융 시스템과 소프트웨어를 조작하는 작전의 복잡성과 효과를 꾸준히 높여 왔으며, 수만 달러의 자산을 탈취하는 데 적어도 한 번 이상 성공했습니다. 이 분석은 특히 브라질의 금융 서비스, 핀테크, 소매, 정부 조직이 BREEZE COMET을 추적하고 방어하는 데 도움을 줄 수 있도록 작성되었습니다.   

라틴 아메리카의 사이버 범죄 생태계는 역사적으로 클라이언트 측의 대규모 소매 사기가 특징이었지만, BREEZE COMET의 공격 캠페인은 이 지역의 조직을 대상으로 하는, 미래의 금전적 동기를 가진 위협의 모델이 될 수 있는 주목할 만한 변화를 보여줍니다. 기회주의적인 소매 은행 사기에서 핵심 금융 스위치 및 즉시 결제 인프라에 대한 직접적 침입으로의 이러한 전환은, 표적의 변화뿐만 아니라 공격자의 역량 측면에서도 주목할 만합니다. 

BREEZE COMET은 공격자가 생성형 AI를 활용하여 캠페인의 속도, 규모, 정교함을 어떻게 향상하는지 보여주는 대표적 사례입니다. LLM을 활용하여 맞춤형 정찰 스크립트를 생성하고, 사용자 인증 정보를 검증하고, 배포 워크플로를 즉석에서 자동화함으로써 공격자는 개발 수명 주기를 단축합니다. 또한 이러한 자동화는 동기화된 다중 환경 공격을 조정하는 데 필요한 운영 기준점을 낮춥니다. 마지막으로, AI 생성 도구의 사용과 맞춤형 다국어 C2 아키텍처를 함께 조정함으로써 공격자가 전반적인 역량을 높이고 기술적 진입 장벽을 낮출 수 있는 방법을 보여줍니다. 맞춤 제작된 Rust, Nim, Go 백도어와 AI 가속 운영 스크립트를 결합한 다층적 생태계로의 발전은 BREEZE COMET의 기술 역량이 측정 가능한 수준으로 성숙했음을 보여줍니다.

위협 그룹이 일상적인 공격 기술을 간소화하기 위해 LLM을 점점 더 많이 활용함에 따라, 방어자는 공격자의 대응 시간이 단축되고 상호 연결된 금융 생태계에 대한 압박이 가중될 것을 예상해야 합니다.

해결 및 보안 강화

애플리케이션 제어 및 승인되지 않은 원격 관리(RMM) 차단

• 애플리케이션 제어(예: Windows WDAC, macOS Gatekeeper/MDM 또는 Linux fapolicyd)를 적용하여 사용자 쓰기 가능 디렉터리(Windows  %APPDATA%, macOS ~/Downloads, Linux /tmp 또는 /var/tmp)에서의 실행을 차단합니다.

• Linux 호스트를 파티셔닝하여 noexec 플래그로 /tmp 및 /home을 마운트합니다.

• 소프트웨어 인벤토리를 감사하여 휴대용 RMM 실행 및 승인되지 않은 시스템 서비스/데몬 등록에 대해 경고합니다.

• IT 지원팀을 사칭하는 소셜 엔지니어링 전술에 대비해 사용자를 교육합니다.

네트워크 액세스 제어 및 지점 물리적 강화

• 지점/소매점 위치의 물리적 이더넷 스위치 포트에 802.1X 네트워크 액세스 제어(NAC)를 배포하여, 승인되지 않은 하드웨어 기기가 인터넷 프로토콜(IP) 주소를 얻거나 내부 서브넷에서 통신하지 못하도록 합니다.

• 사용하지 않는 스위치 포트를 비활성화하고 중요한 네트워크 드롭에 포트 보안(예: MAC 제한)을 적용합니다.

• 네트워킹 클로짓에 대한 액세스를 물리적으로 제한하고 공개 잭을 보호합니다.

Active Directory 및 사용자 인증 정보 강화

• 관리 유틸리티(예: ntdsutil.exe, vssadmin.exe)를 제한하고 볼륨 섀도 복사본 생성/삭제에 대한 경보를 설정합니다.

• PowerShell CLM(제한된 언어 모드), 스크립트 블록 로깅(이벤트 ID 4104) 및 AMSI(멀웨어 방지 스캔 인터페이스)를 적용하여 정찰 스크립트의 인메모리 실행을 탐지합니다.

• VPN, SaaS(Software-as-a-Service) 등 모든 외부 포털에서 피싱 방지 다중 인증(MFA) 및 잠금 제어를 의무화합니다.

심층 패킷 검사 및 이그레스 트래픽 제어

• 도메인 평판이나 .gov 최상위 도메인(TLD) 허용 목록에만 의존하지 말고, 아웃바운드 웹 트래픽에 대해 SSL/TLS 복호화 및 심층 패킷 검사(DPI)를 수행합니다.

• 아웃바운드 인터넷 제어 메시지 프로토콜(ICMP)과 같이 필수적이지 않은 이그레스 포트 및 프로토콜을 차단하고, Chisel이나 GSocket과 같은 터널링 유틸리티를 제한합니다.

• 네트워크를 세분화하여 워크스테이션과 서버 간의 SMB(포트 445) 및 RDP(포트 3389) 측면 이동 트래픽을 차단합니다.

Kubernetes 및 클라우드 워크로드 격리

• 서비스 계정에 최소 권한 원칙을 적용하여 엄격한 Kubernetes 역할 기반 액세스 제어(RBAC)를 적용합니다.

• 동적 허용 컨트롤러(예: OPA Gatekeeper 또는 Kyverno)와 기본 포드 보안 허용(PSA)을 사용하여 권한이 있는 컨테이너를 차단합니다.

• 이그레스 네트워크 정책을 적용하여 노드와 포드가 승인되지 않은 공개 플랫폼에 액세스하지 못하도록 차단합니다.

보안 비밀 관리 및 금융 시스템 마이크로 세분화

• 액세스 로깅이 포함된 중앙 집중식 보안 비밀 관리자(예: HashiCorp Vault) 사용을 의무화하고 코드에서 일반 텍스트 키를 제거합니다.

• 금융 워크로드에 ID 기반/레이어 7 마이크로 세분화를 구현합니다.

• 특별 액세스 관리(PAM)를 통해 관리 액세스를 전용 점프 호스트로만 제한합니다.

네트워크 지표

표 2: 네트워크 지표

탐지

Google Security Operations(SecOps)

Google SecOps 고객은 'Mandiant Hunting Rules' 규칙 팩을 통해 이러한 광범위한 카테고리 규칙 등에 액세스할 수 있습니다. 블로그 게시물에서 설명한 활동은 Google SecOps에서 다음 규칙 이름으로 감지됩니다.

• 'Pastebin에 대한 네트워크 DNS 연결'

• '의심스러운 인수가 포함된 Powershell Downloadstring 메서드'

• 'Powershell Loading Net Assembly'

YARA 규칙

rule M_Utility_REALBREEZE_2 {
    meta:
        author = "Google Threat Intelligence Group"
            
    strings:
        $s1 = "IP/REDE" wide
        $s2 = "SENHA" wide
        $s3 = "U\x00S\x00U\x00\xc1\x00R\x00I\x00O\x00:"
        $s4 = "Arquivo de Texto (*.txt)|*.txt" wide
        $s5 = "get_SamAccountName"
        $s6 = "get_txtHostname"

    condition:
      uint16(0) == 0x5A4D
      and all of them 

}

rule G_Tunneler_COBALTSPIN_1
{
  meta:
    author = "Google Threat Intelligence Group"
    
  strings:
    $p00_0 = {488985[4]72??4c8b47??4c8b6f??488985[4]eb??4989f04989c5488b85}
    $p00_1 = {4d8bae[4]4d85ed4c897d??897d??4c8975??89b5[4]74??498bbe[4]4d89ee}
  condition:
    uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550 and
    (
      ($p00_0 in (560000..600000) and $p00_1 in (1500000..1600000))
    )
}

rule G_Backdoor_BOATBEAM_1
{
  meta:
    author = "Google Threat Intelligence Group"
    
  strings:
    $p00_0 = {4d89d84889ce488bbc24[4]e9[4]0f82[4]4c89ac24[4]4c89e74d29ec4c896424}
    $p00_1 = {e8[4]498903498973??498953??4d8943??488942??488957??4889f8488b4c24}
  condition:
    uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550 and
    (
      ($p00_0 in (1500000..1600000) and $p00_1 in (2700000..2800000))
    )
}

rule G_Backdoor_MILDFROST_1 
{
  meta:

    author = "Google Threat Intelligence Group"
  
strings:
	$s1 = "sc tcp ok" fullword
	$s2 = "fl comando vazio" fullword
	$s3 = "noop" fullword
	$s4 = "wait:" fullword
	$s5 = "shell:" fullword
	$s6 = "exec:" fullword 
	$s7 = "upload," fullword
	$s8 = "dl|" fullword 
	$s9 = "tc|" fullword
condition:
	uint16(0)==0x5a4d and 7 of them

}