Slim Spider 从巴西金融机构窃取加密货币托管机密
- 浏览次数 2158
- 喜欢 0
一个此前未被记录、出于经济动机的威胁行为者，自至少 2026 年 3 月以来一直与针对巴西金融机构的攻击有关。
网络安全公司 CrowdStrike 将该位于巴西的活动集群追踪为 Slim Spider。
"该对手展现出对巴西金融基础设施的深厚运营知识，包括即时支付服务 Pix、数字资产平台以及金融机构的云环境，"CrowdStrike 表示。
Slim Spider 被观察到于 2026 年 3 月下旬在一家巴西金融机构策划了一场多阶段入侵，目标锁定该实体的加密货币资产和即时支付账户。
作为攻击的一部分，据称该电子犯罪团伙开发了自定义 Bash 脚本，通过套接字连接查询云实例元数据以窃取临时云凭据。
在建立对该组织云环境的访问后，威胁行为者枚举了云凭据管理器中存储的所有可用密钥，并使用 "sed" 命令克隆和修改密钥提取脚本。该方法特别针对与数字金融资产相关的凭据。
"在窃取数字资产托管机密后，Slim Spider 调用了 Foundry Ethereum 开发者工具包的组件 cast，以推导与被盗私钥关联的以太坊钱包地址，"CrowdStrike 解释道。
"该威胁行为者没有依赖可能引入检测风险的第三方库，而是在其 Bash 脚本中直接通过 OpenSSL 实现了云原生加密签名。这一深思熟虑的选择反映了其成熟的运营安全意识和对云环境的细致理解。"
在观察到的攻击中，Slim Spider 转而建立对云容器服务集群中运行节点的访问权限，同时部署模仿基础设施相关二进制文件的后门，以混入合法工具并规避检测。
随后，威胁行为者转向 Azure DevOps（可能利用被入侵的凭据）运行恶意管道，在托管的 Kubernetes 集群中部署额外的植入程序。其中一个植入程序名为 "spi"，试图冒充 Sistema de Pagamentos Instantâneos (SPI)——巴西处理 Pix 支付的核心数字基础设施。
Slim Spider 还与各种基于 Web 的面板有关联，用于自动化和简化攻击链的不同环节——
NEXUS // Scanner：一个 API 端点扫描面板，使用 Ollama 将端点归入 16 个类别（如金融科技、银行、支付和加密货币），并根据可用性和身份验证选项进行排名
Painel de Emails Entra ID：一个电子邮件侦察面板，搜索被入侵的 Microsoft 365 邮箱，并按金融、管理员和巴西类别分类
Painel Pix：一个交易面板，旨在从被入侵账户执行批量未经授权的 Pix 转账
CrowdStrike 表示，它发现了一个与该威胁行为者相关的暴露 C2 面板，显示了来自多家巴西银行和金融科技组织的多个被入侵主机，并可能已外泄归档文件。
根据该供应商的对手资料，Slim Spider 武器库中的另一个关键工具是 MikeDor——一个基于 Go 的后门，能够收集敏感信息并监控用户活动。
"Slim Spider 对云攻击面的了解使其能够针对与组织宝贵数字货币资产相关的凭据，包括控制加密货币钱包的托管凭据，"该公司表示。"访问此类资产可能给受害者造成毁灭性的财务损失。"
"电子犯罪威胁行为者正展现出日益成熟的云意识，刻意瞄准最接近高价值金融资产的基础设施和凭据。"
这一披露恰逢另一个名为 Breeze Comet（又名 CL-CRI-1163、Plump Spider 和 SHADOW-AETHER-064）的网络犯罪团伙的出现，该团伙正渗透巴西金融系统以滥用支付基础设施并实施非法交易牟利。
Google Threat Intelligence Group (GTIG) 和 Mandiant 表示，这个使用葡萄牙语的黑客组织侵入巴西金融机构用于执行交易的系统，并为自己发起支付。最早的攻击可追溯至 2024 年。
该威胁行为者还被发现利用安全性不足的巴西政府网站来托管其恶意软件，并利用其声誉对目标实施后续社会工程攻击。更糟的是，Breeze Comet 已尝试在其他地区复制这一模式，入侵了尼日利亚、巴拉圭、加纳和委内瑞拉等国的市政网站。
其最终目标是获得被入侵组织用于支付的金融应用（包括 Pix、Boleto 和储备转移系统 STR）的访问权限，并执行数百笔欺诈交易。
两个不同的威胁行为者都将 Pix 作为目标，这表明巴西最广泛使用的支付方式已成为跨操作系统的有利可图的目标。
"虽然拉丁美洲的网络犯罪生态系统历来以客户端、高量零售欺诈为特征，但 Breeze Comet 的活动代表了一个显著转变，可能成为未来针对该地区组织的经济动机威胁的范本。"
"这种从机会主义的零售银行欺诈向直接入侵核心金融交换和即时支付基础设施的转变之所以值得注意，不仅在于目标的转变，还在于威胁行为者的能力。"