Um agente de ameaças até então não documentado, com motivação financeira, foi relacionado a ataques direcionados a instituições financeiras brasileiras desde pelo menos março de 2026.
A empresa de segurança cibernética CrowdStrike está rastreando o agrupamento de atividades com base no Brasil sob o nome Slim Spider.
"O adversário demonstra profundo conhecimento operacional da infraestrutura financeira brasileira, incluindo o serviço de pagamento instantâneo Pix, plataformas de ativos digitais e ambientes em nuvem de entidades financeiras", disse a CrowdStrike.
Atacante mira ativos digitais e contas de pagamento instantâneo
O Slim Spider foi observado orquestrando uma intrusão em múltiplas etapas em uma instituição financeira baseada no Brasil no final de março de 2026, mirando os ativos de criptomoedas e as contas de pagamento instantâneo da entidade.
Como parte do ataque, o grupo de cibercriminosos teria desenvolvido scripts personalizados em Bash (linguagem de script usada em terminais Unix e Linux) que consultam os metadados da instância na nuvem para roubar credenciais temporárias via conexões de socket.
Após estabelecer acesso ao ambiente em nuvem da organização, o agente de ameaças enumerou todos os segredos disponíveis armazenados no gerenciador de credenciais na nuvem e usou o comando "sed" (editor de fluxo para filtragem e transformação de texto) para clonar e modificar scripts de extração de segredos. A abordagem foca especificamente em credenciais vinculadas a ativos financeiros digitais.
"Após a exfiltração dos segredos de custódia de ativos digitais, o Slim Spider invocou o cast, um componente do kit de ferramentas Foundry para desenvolvimento em Ethereum (plataforma de blockchain), para derivar o endereço da carteira Ethereum associado a uma chave privada roubada", explicou a CrowdStrike.
"Em vez de depender de bibliotecas de terceiros que poderiam introduzir risco de detecção, o agente de ameaças implementou a assinatura criptográfica nativa da nuvem diretamente via OpenSSL (biblioteca de código aberto para protocolos de segurança) em seus scripts em Bash. Essa escolha deliberada reflete uma consciência sofisticada de segurança operacional e uma compreensão refinada dos ambientes em nuvem."
Mecanismos de persistência e movimento lateral
No ataque observado, o Slim Spider passou a estabelecer acesso a nós em execução em um cluster de serviço de contêineres na nuvem, enquanto implantava backdoors (portas de acesso ocultas) que imitavam binários relacionados à infraestrutura para se misturar com ferramentas legítimas e passar despercebido.
O agente de ameaças então migrou para o Azure DevOps (plataforma de integração e entrega contínua da Microsoft), provavelmente usando credenciais comprometidas, para executar pipelines maliciosas que implantavam implantes (programas maliciosos) adicionais em um cluster Kubernetes (sistema de orquestração de contêineres) gerenciado. Um dos implantes foi batizado de "spi", numa tentativa de se passar pelo Sistema de Pagamentos Instantâneos (SPI), que se refere à infraestrutura digital central que processa pagamentos Pix no Brasil.
Painéis de automação do ataque
O Slim Spider também foi associado a diversos painéis baseados na web para automatizar e otimizar diferentes aspectos da cadeia de ataque:
- NEXUS // Scanner, um painel de varredura de endpoints de API (interface de programação de aplicações) que usa Ollama (plataforma para executar modelos de linguagem de inteligência artificial localmente) para classificar endpoints em 16 categorias, como fintech, bancária, pagamentos e criptomoedas, e classificá-los com base em disponibilidade e opções de autenticação;
- Painel de Emails Entra ID (serviço de identidade da Microsoft), um painel de reconhecimento de e-mails que pesquisa caixas de correio Microsoft 365 comprometidas, classificadas em categorias como finanças, administração e Brasil;
- Painel Pix, um painel de transações projetado para executar transferências Pix não autorizadas em massa a partir de contas comprometidas.
A CrowdStrike afirmou ter descoberto um painel de comando e controle (C2) exposto, conectado ao agente de ameaças, que exibia diversos hosts comprometidos de vários bancos e organizações fintech com sede no Brasil, além de provavelmente ter exfiltrado arquivos compactados.
MikeDor e o arsenal do Slim Spider
De acordo com o perfil de adversário da empresa de segurança cibernética, outra ferramenta-chave no arsenal do Slim Spider é o MikeDor, um backdoor desenvolvido em Go (linguagem de programação criada pelo Google), capaz de coletar informações sensíveis e monitorar atividades de usuários.
"O conhecimento do Slim Spider sobre a superfície de ataque na nuvem permite que ele mire credenciais associadas aos valiosos ativos em moeda digital da organização, incluindo credenciais de custódia que controlam carteiras de criptomoedas", afirmou a empresa. "O acesso a esses ativos pode resultar em perdas financeiras devastadoras para as vítimas."
"Agentes de ameaças do cibercrime estão demonstrando uma consciência cada vez mais sofisticada sobre a nuvem, mirando deliberadamente a infraestrutura e as credenciais que ficam mais próximas dos ativos financeiros de alto valor."
Breeze Comet: outro grupo explora falhas em sistemas brasileiros
A divulgação coincide com o surgimento de outro grupo cibercriminoso chamado Breeze Comet (também conhecido como CL-CRI-1163, Plump Spider e SHADOW-AETHER-064), que está se infiltrando em sistemas financeiros brasileiros para abusar da infraestrutura de pagamentos e realizar transações ilegais com fins lucrativos.
O Google Threat Intelligence Group (GTIG, Grupo de Inteligência de Ameaças do Google) e a Mandiant afirmaram que o grupo de hackers lusófono invade sistemas que organizações financeiras brasileiras usam para realizar transações e inicia pagamentos em benefício próprio. Os primeiros ataques datam de 2024.
O agente de ameaças também foi flagrado usando sites governamentais brasileiros insuficientemente seguros para hospedar seu malware, e aproveitando a reputação desses sites em ataques posteriores de engenharia social contra seus alvos. Para piorar a situação, o Breeze Comet tentou replicar essa fórmula em outras regiões, hackeando sites municipais em países como Nigéria, Paraguai, Gana e Venezuela.
O objetivo final é obter acesso aos aplicativos financeiros que as organizações violadas usam para fazer pagamentos, incluindo Pix, Boleto e o Sistema de Transferência de Reservas (STR), e executar centenas de transações fraudulentas.
Pix como alvo prioritário
O fato de o Pix ser alvo de dois agentes de ameaças diferentes indica como o método de pagamento mais utilizado no Brasil se tornou um alvo lucrativo em diferentes sistemas operacionais.
"Embora o ecossistema de cibercrime na América Latina tenha sido historicamente definido por fraudes de varejo em alto volume no lado do cliente, as campanhas do Breeze Comet representam uma mudança notável que pode servir de modelo para futuras ameaças com motivação financeira contra organizações nesta região."
"Essa transição da fraude bancária de varejo oportunista para intrusões diretas no núcleo do sistema financeiro e na infraestrutura de pagamentos instantâneos é notável não apenas por essa mudança no alvo, mas também pelas capacidades do agente de ameaças."
