Slim Spider rapina i segreti di custodia delle criptovalute da un istituto finanziario brasiliano
- Punto chiave 1: Slim Spider sfrutta script Bash personalizzati e OpenSSL per estrarre credenziali di custodia delle criptovalute in ambienti cloud.
- Punto chiave 2: L’attaccante si infiltra nei cluster Kubernetes, installa backdoor e utilizza pipeline Azure DevOps per diffondere implant.
- Punto chiave 3: La comparsa di Breeze Comet indica una nuova fase di attacchi diretti al core di infrastrutture di pagamento come Pix.
Sentiment: NEUTRALE
Nel marzo 2026, un nuovo attacco informatico ha messo in luce la sofisticata capacità di un gruppo di cybercriminali, noto come Slim Spider, di penetrare in istituzioni finanziarie brasiliane e sottrarre i segreti di custodia delle criptovalute. L’analisi di CrowdStrike rivela una serie di tecniche avanzate, dall’uso di script Bash personalizzati a backdoor che mimano binari legittimi, che consentono all’attaccante di accedere a credenziali sensibili e di manipolare wallet Ethereum.
Attacco e metodologia di Slim Spider
Il gruppo, identificato da CrowdStrike come “Slim Spider”, ha dimostrato una conoscenza operativa profonda dell’infrastruttura finanziaria brasiliana, inclusi il servizio di pagamento istantaneo Pix, le piattaforme di asset digitali e gli ambienti cloud delle entità finanziarie. L’attacco è stato osservato in una fase multi‑stadio in un istituto finanziario brasiliano a fine marzo 2026, con l’obiettivo principale di accedere ai conti di pagamento istantaneo e alle criptovalute custodite.
La prima fase ha visto l’uso di script Bash personalizzati che interrogano i metadati dell’istanza cloud per rubare credenziali temporanee tramite connessioni socket. Una volta ottenuto l’accesso all’ambiente cloud, l’attaccante ha enumerato tutti i segreti disponibili nel gestore di credenziali cloud, usando il comando sed per clonare e modificare script di estrazione di segreti. L’approccio è stato mirato a credenziali collegate a asset finanziari digitali.
Successivamente, Slim Spider ha utilizzato cast, un componente del toolkit di sviluppo Ethereum Foundry, per derivare l’indirizzo del wallet Ethereum associato a una chiave privata rubata. Invece di affidarsi a librerie di terze parti, l’attaccante ha implementato la firma crittografica nativa del cloud tramite OpenSSL all’interno dei propri script Bash, dimostrando una consapevolezza operativa avanzata e una profonda comprensione dell’ambiente cloud.
Per consolidare la persistenza, l’attaccante ha installato backdoor che imitano binari legittimi dell’infrastruttura, rendendo difficile la rilevazione. Ha poi pivotato verso Azure DevOps, probabilmente sfruttando credenziali compromesse, per eseguire pipeline malevole che distribuiscono ulteriori implant in un cluster Kubernetes gestito. Uno degli implant, denominato “spi”, cercava di impersonare il Sistema di Pagamenti Instantanei (SPI), l’infrastruttura digitale centrale che elabora i pagamenti Pix in Brasile.
Implicazioni per il settore finanziario brasiliano
La capacità di Slim Spider di accedere a credenziali di custodia di criptovalute può comportare perdite finanziarie devastanti per le vittime. L’uso di tecniche cloud‑native
