Недокументиран досега и финансово мотивиран автор на заплахи е свързан с атаки, насочени към бразилски финансови институции, поне от март 2026 г.

Фирмата за киберсигурност CrowdStrike проследява този базиран в Бразилия клъстер от активност под името Slim Spider.

„Атакуващият демонстрира задълбочени оперативни познания за бразилската финансова инфраструктура, включително услугата за незабавни плащания Pix, платформи за дигитални активи и облачни среди на финансови субекти“, заявиха от CrowdStrike.

Забелязано е, че Slim Spider организира многоетапно проникване в базирана в Бразилия финансова институция в края на март 2026 г., като се е насочил към криптовалутните активи и сметките за незабавни плащания на организацията.

Като част от атаката се посочва, че киберпрестъпната група е разработила персонализирани Bash скриптове, които запитват метаданните на облачния инстанс, за да откраднат временни идентификационни данни за облака през сокет връзки.

След като получава достъп до облачната среда на организацията, атакуващият изброява всички налични тайни, съхранявани в мениджъра на идентификационни данни в облака, и използва командата "sed", за да клонира и модифицира скриптове за извличане на тайни. Подходът се фокусира конкретно върху идентификационни данни, свързани с дигитални финансови активи.

„След компрометирането и източването на тайните за съхранение на дигитални активи, Slim Spider извика cast, компонент от инструментариума за разработчици на Ethereum Foundry, за да извлече адреса на портфейла Ethereum, свързан с откраднат частен ключ“, обясниха от CrowdStrike.

„Вместо да разчита на библиотеки от трети страни, които биха могли да въведат риск от откриване, атакуващият внедри криптографско подписване, предназначено за облачни среди, директно чрез OpenSSL в своите Bash скриптове. Този съзнателен избор отразява висока оперативна осведоменост за сигурността и нюансирано разбиране на облачните среди.“

При наблюдавана атака Slim Spider преминава към осигуряване на достъп до възли, работещи в клъстер от облачни контейнерни услуги, като същевременно внедрява задни врати (backdoors), имитиращи двоични файлове на инфраструктурата, за да се слеят с легитимни инструменти и да останат под радара.

След това киберпрестъпникът се прехвърля към Azure DevOps, вероятно използвайки компрометирани данни за достъп, за да стартира зловредни пайплайни, които внедряват допълнителни импланти в управляван Kubernetes клъстер. Един от имплантите е наименуван "spi" в опит да се имитира Sistema de Pagamentos Instantâneos (SPI), което се отнася до централната дигитална инфраструктура, обработваща плащанията Pix в Бразилия.

Slim Spider също така е свързван с различни уеб базирани панели за автоматизиране и оптимизиране на различни аспекти от веригата на атаката -

  • NEXUS // Scanner, панел за сканиране на крайни точки на API, който използва Ollama за разпределяне на крайните точки в 16 категории (като финтех, банкови, разплащателни и за криптовалута) и да ги класира въз основа на наличността и опциите за автентификация
  • Painel de Emails Entra ID, панел за разузнаване на имейли, който търси в компрометирани пощенски кутии в Microsoft 365, сортирани в категории за финанси, администрация и Бразилия
  • Painel Pix, трансакционен панел, предназначен за извършване на масови неоторизирани преводи чрез Pix от компрометирани сметки

От CrowdStrike заявяват, че са разкрили открит команден панел (C2), свързан с атакуващия, който показва няколко компрометирани хоста от базирани в Бразилия банки и финтех организации и вероятно е източил архивни файлове.

Според профила на противника, съставен от фирмата за киберсигурност, друг ключов инструмент в арсенала на Slim Spider е MikeDor – зловреден софтуер от тип задна врата, базиран на Go, способен да събира чувствителна информация и да проследява потребителската активност.

„Познанията на Slim Spider за повърхността за атаки в облака им позволяват да се насочват към идентификационни данни, свързани с ценни активи в дигитална валута на дадена организация, включително данни за попечителство, които контролират портфейли с криптовалута“, се казва в съобщението. „Достъпът до такива активи може да доведе до разрушителни финансови загуби за жертвите.“

„Атакуващите от сферата на киберпрестъпността показват все по-сложна осведоменост за облачните среди, като умишлено се насочват към инфраструктурата и данните за достъп, които са най-близо до финансови активи с висока стойност.“

Разкритието съвпада с появата на друга киберпрестъпна група, наречена Breeze Comet (известна още като CL-CRI-1163, Plump Spider и SHADOW-AETHER-064), която се инфилтрира в бразилските финансови системи, за да злоупотребява с разплащателната инфраструктура и да извършва незаконни трансакции с цел финансова печалба.

От Google Threat Intelligence Group (GTIG) и Mandiant съобщиха, че португалскоезичната хакерска група пробива в системи, които бразилските финансови организации използват за извършване на трансакции, и инициира плащания към себе си. Най-ранните атаки датират от 2024 г.

Злонамереният субект също така е забелязан да използва недостатъчно защитени уебсайтове на бразилското правителство, за да хоства своя зловреден код, и е използвал тяхната репутация в последващи атаки със социално инженерство срещу своите мишени. За съжаление, Breeze Comet се опитва да повтори тази формула и в други региони, хаквайки общински уебсайтове в страни като Нигерия, Парагвай, Гана и Венецуела.

Крайната цел е да се получи достъп до финансовите приложения, които компрометираните организации използват за извършване на плащания, включително Pix, Boleto и Системата за превод на резерви (STR), и да се изпълнят стотици измамни трансакции.

Насочването към Pix от два различни автора на заплахи показва как най-широко използваният метод за плащане в Бразилия се е превърнал в печеливша цел за различни операционни системи.

„Въпреки че латиноамериканската екосистема за киберпрестъпления исторически се е определяла от потребителски измами в търговията на дребно с голям обем, кампаниите на Breeze Comet представляват забележителен обрат, който може да служи като модел за бъдещи финансово мотивирани заплахи срещу организации в този регион.“

„Този преход от ситуативни банкови измами на дребно към директни прониквания в основната финансова инфраструктура за незабавни плащания е забележителен не само поради тази промяна в таргетирането, но и поради възможностите на автора на заплахата.“