Slim Spider nhắm vào bí mật lưu ký tiền mã hóa của tổ chức tài chính Brazil
"CrowdStrike reported that the financially motivated threat actor Slim Spider has targeted Brazilian financial institutions since at least March 2026, focusing on cloud environments, cryptocurrency custody secrets, and instant payment accounts. The group used custom Bash scripts to steal cloud credentials and secrets, then leveraged Azure DevOps and Kubernetes to deploy implants and backdoors; no CVE was mentioned, and the primary mitigation implied is stronger cloud credential and secrets protection."
Rủi ro cao đối với credential cloud, secrets lưu ký tiền mã hóa và hạ tầng thanh toán Pix; có thể dẫn đến mất tài sản số và xâm nhập kéo dài trong môi trường cloud.
Có thể gây thiệt hại tài chính trực tiếp, gián đoạn vận hành trên cloud/Kubernetes và ảnh hưởng đến xử lý thanh toán của tổ chức tài chính.
CrowdStrike cho biết nhóm đe dọa có động cơ tài chính Slim Spider đã nhắm vào các tổ chức tài chính tại Brazil từ ít nhất tháng 3/2026, tập trung vào môi trường cloud, tài khoản thanh toán tức thời Pix và bí mật lưu ký tài sản số. Trong một chiến dịch được quan sát tại một tổ chức tài chính ở Brazil, nhóm này dùng script Bash tùy chỉnh để truy vấn metadata của máy chủ cloud và đánh cắp thông tin xác thực tạm thời qua kết nối socket.
Sau khi xâm nhập, kẻ tấn công liệt kê các secrets trong trình quản lý thông tin xác thực cloud, sao chép và chỉnh sửa script trích xuất bí mật, rồi dùng OpenSSL để ký mã ngay trong Bash nhằm giảm nguy cơ bị phát hiện. CrowdStrike cũng ghi nhận việc nhóm này mở rộng sang Azure DevOps và Kubernetes, triển khai thêm implant và backdoor trên các node và cụm container.
Nhóm còn bị liên kết với các panel web như NEXUS // Scanner, Painel de Emails Entra ID và Painel Pix để tự động hóa hoạt động tấn công. Khuyến nghị ưu tiên bảo vệ credential cloud, quản lý secrets chặt chẽ, rà soát Azure DevOps/Kubernetes, và giám sát bất thường trên các hệ thống liên quan đến tài sản số và Pix.