🌟 Atualização imperdível para quem gosta de estar bem informado!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um ator de ameaça com motivação financeira, anteriormente indocumentado, foi associado a ataques contra instituições financeiras brasileiras desde pelo menos março de 2026.
A empresa de segurança cibernética CrowdStrike está rastreando o cluster de atividades com sede no Brasil sob o nome Slim Spider.
“O adversário demonstra profundo conhecimento operacional da infraestrutura financeira brasileira, incluindo o serviço de pagamento instantâneo Pix, plataformas de ativos digitais e ambientes de nuvem de entidades financeiras”, disse CrowdStrike.
Slim Spider foi observado orquestrando uma intrusão em vários estágios em uma instituição financeira com sede no Brasil no final de março de 2026, com foco nos ativos de criptomoeda e nas contas de pagamento instantâneo da entidade.
Como parte do ataque, o grupo de crime eletrônico desenvolveu scripts Bash personalizados que consultam os metadados da instância da nuvem para roubar credenciais temporárias da nuvem por meio de conexões de soquete.
Ao estabelecer acesso ao ambiente de nuvem da organização, o agente da ameaça enumerou todos os segredos disponíveis armazenados no gerenciador de credenciais de nuvem e usou o comando “sed” para clonar e modificar scripts de extração de segredos. A abordagem concentra-se especificamente nas credenciais vinculadas a ativos financeiros digitais.
“Após a exfiltração de segredos de custódia de ativos digitais, Slim Spider invocou o elenco, um componente do kit de ferramentas de desenvolvedor Foundry Ethereum, para derivar o endereço da carteira Ethereum associado a uma chave privada roubada”, explicou CrowdStrike.
"Em vez de depender de bibliotecas de terceiros que poderiam introduzir riscos de detecção, o agente da ameaça implementou assinatura criptográfica nativa da nuvem diretamente via OpenSSL em seus scripts Bash. Essa escolha deliberada refletiu uma consciência sofisticada de segurança operacional e uma compreensão diferenciada dos ambientes de nuvem."
No ataque observado, Slim Spider agiu para estabelecer acesso a nós em execução em um cluster de serviço de contêiner em nuvem, enquanto implantava backdoors que imitavam binários relacionados à infraestrutura para se misturar com ferramentas legítimas e passar despercebidos.
O ator da ameaça então migrou para o Azure DevOps, provavelmente usando credenciais comprometidas, para executar pipelines maliciosos que implantaram implantes adicionais em um cluster Kubernetes gerenciado. Um dos implantes foi batizado de “spi”, uma tentativa de se passar pelo Sistema de Pagamentos Instantâneos (SPI), que se refere à infraestrutura digital central que processa pagamentos Pix no Brasil.
O Slim Spider também foi vinculado a vários painéis baseados na web para automatizar e agilizar diferentes aspectos da cadeia de ataque -
NEXUS // Scanner, um painel de verificação de endpoints de API que usa Ollama para dividir endpoints em 16 categorias, como fintech, serviços bancários, pagamentos e criptomoedas, e classificá-los com base na disponibilidade e opções de autenticação
Painel de Emails Entra ID, um painel de reconhecimento de e-mail que pesquisa caixas de correio comprometidas do Microsoft 365 classificadas nas categorias finanças, administração e Brasil
Painel Pix, um painel de transações projetado para executar transferências Pix não autorizadas em massa de contas comprometidas
CrowdStrike disse que descobriu um painel de comando e controle (C2) exposto conectado ao ator da ameaça que exibia vários hosts comprometidos de vários bancos e organizações fintech sediadas no Brasil e provavelmente arquivos exfiltrados.
De acordo com o perfil do adversário do fornecedor de segurança cibernética, outra ferramenta importante no arsenal do Slim Spider é o MikeDor, um backdoor baseado em Go capaz de coletar informações confidenciais e monitorar as atividades do usuário.
“O conhecimento do Slim Spider sobre a superfície de ataque na nuvem permite que eles direcionem credenciais associadas aos valiosos ativos de moeda digital de uma organização, incluindo credenciais de custódia que controlam carteiras de criptomoedas”, afirmou. “O acesso a esses bens pode resultar em perdas financeiras devastadoras para as vítimas”.
“Os atores da ameaça do crime eletrônico estão demonstrando uma consciência cada vez mais sofisticada da nuvem, visando deliberadamente a infraestrutura e as credenciais mais próximas dos ativos financeiros de alto valor”.
A divulgação coincide com o surgimento de outro grupo de crimes cibernéticos chamado Breeze Comet (também conhecido como CL-CRI-1163, Plump Spider e SHADOW-AETHER-064) que está se infiltrando nos sistemas financeiros brasileiros para abusar da infraestrutura de pagamentos e realizar transações ilegais para obter ganhos financeiros.
O Google Threat Intelligence Group (GTIG) e a Mandiant disseram que o grupo de hackers de língua portuguesa invade sistemas que organizações financeiras brasileiras usam para realizar transações e inicia pagamentos para si mesmo. Os primeiros ataques datam de 2024.
O ator da ameaça também foi flagrado usando sites do governo brasileiro insuficientemente seguros para preparar seu malware e alavancou sua reputação em ataques subsequentes de engenharia social contra seus alvos. Para piorar a situação, o Breeze Comet tentou replicar esta fórmula em outros
A empresa de segurança cibernética CrowdStrike está rastreando o cluster de atividades com sede no Brasil sob o nome Slim Spider.
“O adversário demonstra profundo conhecimento operacional da infraestrutura financeira brasileira, incluindo o serviço de pagamento instantâneo Pix, plataformas de ativos digitais e ambientes de nuvem de entidades financeiras”, disse CrowdStrike.
Slim Spider foi observado orquestrando uma intrusão em vários estágios em uma instituição financeira com sede no Brasil no final de março de 2026, com foco nos ativos de criptomoeda e nas contas de pagamento instantâneo da entidade.
Como parte do ataque, o grupo de crime eletrônico desenvolveu scripts Bash personalizados que consultam os metadados da instância da nuvem para roubar credenciais temporárias da nuvem por meio de conexões de soquete.
Ao estabelecer acesso ao ambiente de nuvem da organização, o agente da ameaça enumerou todos os segredos disponíveis armazenados no gerenciador de credenciais de nuvem e usou o comando “sed” para clonar e modificar scripts de extração de segredos. A abordagem concentra-se especificamente nas credenciais vinculadas a ativos financeiros digitais.
“Após a exfiltração de segredos de custódia de ativos digitais, Slim Spider invocou o elenco, um componente do kit de ferramentas de desenvolvedor Foundry Ethereum, para derivar o endereço da carteira Ethereum associado a uma chave privada roubada”, explicou CrowdStrike.
"Em vez de depender de bibliotecas de terceiros que poderiam introduzir riscos de detecção, o agente da ameaça implementou assinatura criptográfica nativa da nuvem diretamente via OpenSSL em seus scripts Bash. Essa escolha deliberada refletiu uma consciência sofisticada de segurança operacional e uma compreensão diferenciada dos ambientes de nuvem."
No ataque observado, Slim Spider agiu para estabelecer acesso a nós em execução em um cluster de serviço de contêiner em nuvem, enquanto implantava backdoors que imitavam binários relacionados à infraestrutura para se misturar com ferramentas legítimas e passar despercebidos.
O ator da ameaça então migrou para o Azure DevOps, provavelmente usando credenciais comprometidas, para executar pipelines maliciosos que implantaram implantes adicionais em um cluster Kubernetes gerenciado. Um dos implantes foi batizado de “spi”, uma tentativa de se passar pelo Sistema de Pagamentos Instantâneos (SPI), que se refere à infraestrutura digital central que processa pagamentos Pix no Brasil.
O Slim Spider também foi vinculado a vários painéis baseados na web para automatizar e agilizar diferentes aspectos da cadeia de ataque -
NEXUS // Scanner, um painel de verificação de endpoints de API que usa Ollama para dividir endpoints em 16 categorias, como fintech, serviços bancários, pagamentos e criptomoedas, e classificá-los com base na disponibilidade e opções de autenticação
Painel de Emails Entra ID, um painel de reconhecimento de e-mail que pesquisa caixas de correio comprometidas do Microsoft 365 classificadas nas categorias finanças, administração e Brasil
Painel Pix, um painel de transações projetado para executar transferências Pix não autorizadas em massa de contas comprometidas
CrowdStrike disse que descobriu um painel de comando e controle (C2) exposto conectado ao ator da ameaça que exibia vários hosts comprometidos de vários bancos e organizações fintech sediadas no Brasil e provavelmente arquivos exfiltrados.
De acordo com o perfil do adversário do fornecedor de segurança cibernética, outra ferramenta importante no arsenal do Slim Spider é o MikeDor, um backdoor baseado em Go capaz de coletar informações confidenciais e monitorar as atividades do usuário.
“O conhecimento do Slim Spider sobre a superfície de ataque na nuvem permite que eles direcionem credenciais associadas aos valiosos ativos de moeda digital de uma organização, incluindo credenciais de custódia que controlam carteiras de criptomoedas”, afirmou. “O acesso a esses bens pode resultar em perdas financeiras devastadoras para as vítimas”.
“Os atores da ameaça do crime eletrônico estão demonstrando uma consciência cada vez mais sofisticada da nuvem, visando deliberadamente a infraestrutura e as credenciais mais próximas dos ativos financeiros de alto valor”.
A divulgação coincide com o surgimento de outro grupo de crimes cibernéticos chamado Breeze Comet (também conhecido como CL-CRI-1163, Plump Spider e SHADOW-AETHER-064) que está se infiltrando nos sistemas financeiros brasileiros para abusar da infraestrutura de pagamentos e realizar transações ilegais para obter ganhos financeiros.
O Google Threat Intelligence Group (GTIG) e a Mandiant disseram que o grupo de hackers de língua portuguesa invade sistemas que organizações financeiras brasileiras usam para realizar transações e inicia pagamentos para si mesmo. Os primeiros ataques datam de 2024.
O ator da ameaça também foi flagrado usando sites do governo brasileiro insuficientemente seguros para preparar seu malware e alavancou sua reputação em ataques subsequentes de engenharia social contra seus alvos. Para piorar a situação, o Breeze Comet tentou replicar esta fórmula em outros
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #slim #spider #rouba #segredos #de #custódia #criptográfica #de #instituição #financeira #brasileira
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário