Breeze Comet, 브라질 결제 시스템 통해 수백 건의 부정 거래 실행

브라질 금융 서비스, 유통, 전자상거래 조직이 2024년부터 Breeze Comet(구 UNC5669)이라는 금전 목적의 위협 행위자의 표적이 되고 있다.

Google Threat Intelligence Group(GTIG)과 Mandiant 팀은 이 위협 행위자를 "브라질의 결제 시스템과 뱅킹 소프트웨어를 조작해 부정 이체를 실행하는 데 특화된 조직"으로 설명했다. 이 공격자는 수만 달러 상당의 자산을 탈취하는 데 성공한 사례가 최소 한 건 확인됐다.

이 활동은 CrowdStrike와 Trend Micro가 각각 Plump Spider, SHADOW-AETHER-064라는 이름으로 추적하는 위협 클러스터와 중복된다. CrowdStrike에 따르면 이 e-크라임 그룹은 브라질을 거점으로 2023년 9월부터 활동하고 있으며, 내부 결제 시스템에 무단 접근해 부정 거래를 실행하는 방식으로 수익을 창출하고 있다.

금융 기관 및 금융 서비스 제공 기업에 대한 초기 접근은 패스워드 스프레이(password spraying, 여러 계정에 동일한 비밀번호를 반복 시도하는 공격)와 IT 지원팀을 사칭한 전화 통화를 통해 이루어진다. 공격자는 피해자를 설득해 AnyDesk 같은 RMM(원격 모니터링 및 관리) 도구를 설치하게 만든다. 2025년 11월 Axur가 공개한 사례에서는 위협 행위자가 WhatsApp 대화에서 IT 지원 담당자로 위장해 피해자에게 기업 애플리케이션 업데이트를 빌미로 PowerShell 정찰 스크립트를 설치하도록 유도했다.

또한 이 그룹은 취약한 JBoss AS 서버를 표적으로 삼아 웹셸(web shell, 서버를 원격에서 제어할 수 있는 악성 스크립트)을 배포하고, 이를 통해 Chisel 및 기타 프록시 유틸리티를 포함한 추가 도구를 전달해 후속 공격에 활용한다.

이 위협 행위자의 주요 표적은 Pix, STR, Boleto 같은 뱅킹 소프트웨어·API·결제 시스템을 통해 거래를 수행할 권한을 가진 조직이다. 여기에는 은행, 결제 처리사, 소매업체, 거래소는 물론 핀테크·뱅킹 소프트웨어 제공업체까지 광범위한 대상이 포함된다.

"Breeze Comet의 전술은 시간이 지나면서 맞춤형 악성코드 모음과 신뢰할 수 있는 침해 웹사이트를 활용해 초기 접근, C2(명령 및 제어), 금융 소프트웨어·결제 API 상호작용을 촉진하는 방식으로 진화했다"고 Google은 밝혔다. "Breeze Comet의 운영 인프라는 라틴아메리카와 아프리카의 다른 국가로 인프라 발판을 확장하려는 의도를 나타낼 수 있다."

그러나 목표를 달성하려면 네 가지 요건을 충족해야 한다. ▲RSFN(국가금융시스템네트워크)에 이미 접근 권한을 가진 기관을 통한 접근, ▲Pix 또는 STR에 인증된 페이로드를 포함한 거래 명령을 전송할 수 있는 mTLS(상호 TLS 인증) 자격증명 확보, ▲표적 조직의 Active Directory 및 클라우드 환경에 대한 여러 계정 접근, ▲조직의 이체 처리 절차·네트워크 제어·핀테크 통합·부정 방지 시스템에 대한 이해가 필요하다.

주목할 만한 기타 전술은 다음과 같다.

• 침해된 브라질 소규모 정부 웹사이트를 이용해 RMM 도구, 합법적인 세금·영수증 문서로 위장한 인포스틸러(infostealer, 정보 탈취 악성코드), XWorm 같은 백도어를 배포하고 C2 엔드포인트로 활용해 평판 필터를 우회하고 탐지를 회피. 동일한 수법이 나이지리아·파라과이·가나·베네수엘라에서도 반복되고 있어 표적 범위가 확장되고 있음을 시사.
• 소매점 네트워크에 악성 하드웨어 장치를 직접 연결해 발판을 확보하고 내부 시스템으로 측면 이동(lateral movement)을 수행한 뒤, Netcat 유틸리티와 맞춤형 스크립트를 다운로드해 공격 후 프레임워크를 획득.
• Impacket, ADRecon, ADVipscan 및 맞춤형 LDAP 무차별 대입 유틸리티 REALBREEZE를 사용해 내부 정찰을 수행하고 개발·클라우드 환경을 표적으로 삼아 권한 상승.
• 무단 RDP(원격 데스크톱 프로토콜) 세션을 개시하고 SMB 네트워크 파일 공유를 통해 명령을 실행해 측면 이동. 이 단계에서는 네트워크 터널러로 작동해 금융 API 인프라와의 통신 및 지속적인 네트워크 접근을 유지하는 Rust 기반 라우팅 악성코드 COBALTSPIN도 배포.

"COBALTSPIN은 WebSocket 연결을 통한 역방향 SOCKS5 프록시를 구축해, C2와 내부 표적 사이에서 네트워크 트래픽을 안전하게 양방향 라우팅함으로써 탐지를 유발할 수 있는 내장 지속성 메커니즘 없이도 경계 방화벽을 통한 측면 이동을 가능하게 한다"고 Google은 설명했다.

Breeze Comet의 지속성 메커니즘은 2024년 상용 RMM 도구 설치에서 1년 후 악성 Kubernetes 파드 배포, 그리고 'dontpad[.]com' 같은 공개 노트패드 웹사이트로 클라우드 시크릿을 유출하는 방식으로 진화했다. 이후 위협 행위자는 여러 맞춤형 백도어를 이중 접근 수단으로 활용해 발판을 확장하고 있다.

• LIGHTPAINT: Java 기반 백도어로, 합법적인 SoftEther VPN을 설치하고 자동화된 지속성을 위해 구성하는 데 사용.
• MILDFROST: 비수동적(passive) Java JAR 백도어로, 은닉 DNS 터널을 구축하는 데 사용.
• KICKPLATE: Nim 기반 백도어로, Windows Update Health Tools를 사칭하며 보조 페이로드를 전달하고 SOCKS5 터널러를 제어하는 명령을 실행.
• BOATBEAM: Golang 기반 백도어로, 포트 443에서 가짜 IIS HTTPS 서버를 구동.

이러한 지속성 메커니즘이 탐지·제거되지 않도록, 위협 행위자는 PowerShell 명령을 실행해 침해된 호스트에서 Windows Defender의 실시간 모니터링을 비활성화한다.

최종 단계에서는 COBALTSPIN과 침해된 특권 계정을 사용해 핵심 금융 애플리케이션에 접근하고 수백 건의 부정 거래를 실행한다. 완료 후에는 이벤트 로그를 삭제해 포렌식 흔적을 최소화하고 금융 소프트웨어·결제 시스템과의 API 상호작용을 은폐한다. 침입 과정에서 생성된 디렉터리도 모두 삭제된다.

상세한 설명 주석과 표준화된 실행 헤더가 존재한다는 점은 LLM(대규모 언어모델)을 활용해 악성코드 개발 주기를 단축하고 있음을 시사한다. 2026년 5월 Trend Micro의 이전 분석에서도 일부 스크립트에 "자체 추론 및 자율 의사결정 과정에 대한 설명"이 포함된 것이 확인됐다.

"라틴아메리카 사이버 범죄 생태계는 역사적으로 클라이언트 측의 대량 소매 사기로 정의됐지만, Breeze Comet의 캠페인은 이 지역의 금전적 동기를 가진 미래 위협의 모델이 될 수 있는 주목할 만한 변화를 나타낸다"고 Google은 밝혔다.

"기회주의적 소매 뱅킹 사기에서 핵심 금융 스위치 및 즉시결제 인프라에 대한 직접 침투로의 이러한 전환은 표적의 변화뿐만 아니라 위협 행위자의 역량 측면에서도 주목할 만하다. 위협 그룹이 LLM을 활용해 일상적인 공격 기법을 간소화함에 따라, 방어자는 공격자의 대응 시간이 단축되고 상호 연결된 금융 생태계에 대한 압박이 높아질 것을 예상해야 한다."