Fraude sistêmica no Pix: grupo rouba credenciais mTLS

O Google Threat Intelligence Group (GTIG) e a Mandiant detalharam, em relatório técnico publicado em 1º de setembro, a operação de um ator financeiramente motivado que manipula sistemas de pagamento e software bancário no Brasil para executar transferências fraudulentas em nome das vítimas. Rastreado como BREEZE COMET — antes UNC5669 —, o grupo se sobrepõe a campanhas divulgadas publicamente como Plump Spider e completou a transição da fraude de varejo em grande volume para invasões diretas ao núcleo do pagamento instantâneo: o Pix e o STR, o sistema de transferência de reservas do Banco Central. Bancos, fintechs, processadoras, casas de câmbio e varejistas com permissão transacional estão no alvo, com sinais de expansão para outros países da América Latina e da África. A prioridade imediata de qualquer equipe defensiva nesse perfil é inventariar a custódia das credenciais mTLS e do ambiente onde as ordens de pagamento são assinadas digitalmente.

Por que a fraude é sistêmica

A diferença entre essa operação e o golpe bancário tradicional está no alvo. Em vez de enganar clientes individuais, o grupo compromete a infraestrutura central da instituição — módulos de assinatura digital, gateways de transação e serviços de autenticação — para assumir a identidade operacional da própria organização. A transação fraudulenta passa a ser produzida e validada como se emanasse da instituição legítima, contornando controles antifraude desenhados para clientes, não para o emissor. A pesquisa da Axur sobre o mesmo ecossistema mostra onde o risco se concentra: prestadores de serviço de pagamento e fornecedores com acesso aos sistemas de comunicação com o Banco Central formam o elo mais fraco da cadeia. Um comprometimento nesse ponto afeta todo o ecossistema de pagamentos, não apenas uma carteira de clientes.

Como o ataque começa

O acesso inicial combina engenharia social com abuso de confiança estabelecida. Em invasões anteriores, a Mandiant registrou password spraying e ligações de voz com falsos técnicos de TI convencendo funcionários a instalar ferramentas de acesso remoto como o AnyDesk — o mesmo vetor de suporte falsificado que tornou o help desk um alvo crítico de ataques contra identidades. A Axur sugere ainda que o grupo tentou recrutar funcionários internos nas organizações visadas. A partir de meados de 2025, os atacantes passaram a comprometer sites de pequenos órgãos públicos brasileiros para hospedar cargas maliciosas disfarçadas de comprovantes fiscais, como o arquivo ComprovantePDF.exe, e backdoors XWORM persistidos por atalhos na inicialização do Windows. Domínios municipais da Nigéria, Paraguai, Gana e Venezuela receberam o mesmo tratamento, com a mesma infraestrutura de preparação reutilizada entre operações. Em pelo menos um caso, dispositivos de hardware não autorizados foram ligados diretamente à rede de lojas do varejo, seguidos de movimentação lateral com Netcat e scripts que baixavam frameworks de pós-exploração de diretórios abertos.

O caminho até o Pix

Para transformar acesso em fraude, o grupo precisa cumprir pré-requisitos específicos do sistema financeiro: presença persistente no Active Directory ou em ambientes de nuvem, compreensão dos procedimentos de transferência da vítima e credenciais mTLS capazes de enviar ordens transacionais autenticadas ao Pix e ao STR, obtidas a partir de uma entidade com acesso à rede do sistema financeiro nacional. Scripts personalizados vasculham arquivos internos e variáveis de ambiente em busca desses certificados administrativos, com termos de busca como boleto, cnab, remessa e padrões de webhook ligados a pagamento instantâneo. O ponto crítico descrito pela investigação da Axur sobre o grupo Plump Spider é o destino final dessa caça: acesso direto aos ambientes onde as ordens de pagamento XML pacs.008 são geradas e onde ocorre a assinatura digital da instituição financeira — o momento em que a transação falsa se torna praticamente indistinguível da legítima.

Ferramentas e persistência

O arsenal é sob medida e multilinguagem. O utilitário REALBREEZE executa força bruta contra contas LDAP. O COBALTSPIN, escrito em Rust, funciona como tunelador evasivo: estabelece um proxy SOCKS5 reverso sobre conexão WebSocket para atravessar firewalls internos e manter acesso persistente à infraestrutura de APIs financeiras. Quatro backdoors complementares sustentam a presença com redundância. O LIGHTPAINT instala uma VPN legítima, configura persistência automática e apaga os logs da plataforma de plugins de VPN do Windows para esconder a conexão. O MILDFROST se esconde no espaço de processo da JVM e usa túneis DNS lentos como canal de comando reserva. O KICKPLATE, escrito em Nim, se disfarça de ferramenta do Windows Update e manipula serviços e chaves de inicialização. O BOATBEAM, em Go, levanta um servidor IIS falso na porta 443 e só ativa as funções de comando ao receber um cookie de sessão específico. Para garantir que tudo continue rodando, o grupo desabilita o monitoramento em tempo real do Windows Defender, rouba credenciais fixas de pipelines CI/CD, chaves de API e tokens privilegiados de nuvem, e já implantou pods Kubernetes maliciosos para roubar segredos, exfiltrando dados para sites de notas públicas como o dontpad.

Execução e limpeza

A fase final é rápida e destrutiva para a investigação. Depois de alcançar as aplicações financeiras centrais com o COBALTSPIN e contas privilegiadas sequestradas, o grupo executou duas ondas com centenas de transações fraudulentas dentro de uma janela de 24 a 48 horas, conforme relato de um cliente e análise forense de terceiros. Em seguida, limpou os logs de eventos nos hosts comprometidos e deletou os diretórios criados durante a invasão, apagando rastros de escalada de privilégio, movimento lateral e interação com as APIs de pagamento. O relatório registra ainda pelo menos um roubo bem-sucedido de dezenas de milhares de dólares em ativos.

IA acelera o atacante

Um detalhe merece atenção além do setor financeiro: o Mandiant identificou evidências de que o grupo usa modelos de linguagem para acelerar a criação de scripts de reconhecimento de rede, validação de credenciais, implantação em massa, pivoteamento específico por vítima e extração de dados. Os scripts recuperados são funcionais e altamente customizados, mas carecem de idiossincrasias humanas: estruturas desenroladas, comentários verbosos e cabeçalhos padronizados de execução. A compressão do ciclo de desenvolvimento reduz o intervalo entre acesso inicial e impacto financeiro — a mesma pressão operacional que já justifica trocar o elo humano por chaves resistentes a phishing na camada de identidade.

Sinais e defesas prioritárias

A caça imediata pode começar pelo que já foi publicado: hashes de arquivo de COBALTSPIN, REALBREEZE, MILDFROST, BOATBEAM e KICKPLATE, conexões DNS anômalas para sites de notas públicas, executáveis hospedados em domínios governamentais comprometidos e regras de detecção como as do pacote Mandiant Hunting Rules no Google SecOps, incluindo conexões DNS para pastebin e downloads suspeitos via PowerShell. O inventário de portas de rede física em lojas também entra na fila.

Para instituições com acesso transacional, o teste decisivo não é se o antivírus detecta o XWORM, e sim quanto tempo um invasor com credencial administrativa levaria para emitir uma ordem assinada válida. Se a resposta for medida em horas, a prioridade é blindar a assinatura antes de qualquer outra iniciativa.

Fontes

• Google Threat Intelligence Group e Mandiant — Financially Motivated Threat Actor BREEZE COMET Targets Brazil (1º de setembro de 2026)
• Axur Research Team — New Details on Plump Spider’s Operations in Pix Fraud Schemes (8 de outubro de 2025)