Ein bislang unbekannter, finanziell motivierter Angreifer wird seit mindestens März 2026 mit Angriffen auf brasilianische Finanzinstitute in Verbindung gebracht. Der Cybersicherheitsanbieter CrowdStrike verfolgt die in Brasilien aktive Gruppe unter dem Namen Slim Spider. Sie zielt gezielt auf Krypto-Verwahrungsgeheimnisse und Instant-Payment-Dienste wie Pix ab – und zeigt dabei ein bemerkenswert tiefes Verständnis der lokalen Finanzinfrastruktur.
Slim Spider stiehlt Krypto-Verwahrungsgeheimnisse: Die Angriffskette
Was ist Slim Spider?
Slim Spider ist eine bislang nicht dokumentierte, finanziell motivierte Hackergruppe aus Brasilien, die seit mindestens März 2026 Finanzinstitute angreift. CrowdStrike ordnet sie als Cybercrime-Cluster ein, das es auf Kryptowährungsbestände, digitale Verwahrungsgeheimnisse und Instant-Payment-Konten abgesehen hat.
Ende März 2026 orchestrierte Slim Spider eine mehrstufige Intrusion bei einem brasilianischen Finanzinstitut und nahm dabei die Kryptovermögenswerte und Instant-Payment-Konten des Unternehmens ins Visier. Die Angreifer entwickelten eigene Bash-Skripte, die die Metadaten der Cloud-Instanz abfragen, um über Socket-Verbindungen temporäre Cloud-Anmeldedaten zu stehlen. Nachdem sie Zugang zur Cloud-Umgebung der Organisation erlangt hatten, listeten sie alle im Cloud-Credential-Manager gespeicherten Geheimnisse auf und nutzten den Befehl sed, um Skripte zur Extraktion von Geheimnissen zu klonen und zu modifizieren. Der Fokus lag dabei auf Anmeldedaten im Zusammenhang mit digitalen Finanzanlagen.
Nach der Exfiltration der Krypto-Verwahrungsgeheimnisse rief Slim Spider cast auf, eine Komponente des Foundry-Ethereum-Entwicklungs-Toolkits, um die zu einem gestohlenen privaten Schlüssel gehörende Ethereum-Wallet-Adresse abzuleiten. Statt auf Drittanbieter-Bibliotheken zu setzen, die ein Erkennungsrisiko dargestellt hätten, implementierte der Angreifer die kryptografische Signierung direkt per OpenSSL in den Bash-Skripten. Diese bewusste Entscheidung zeugt von ausgeprägtem operativem Sicherheitsbewusstsein und einem differenzierten Verständnis der Cloud-Umgebung.
Tarnung und laterale Bewegung in der Cloud
Bei dem dokumentierten Angriff verschaffte sich Slim Spider Zugang zu Knoten in einem Cluster eines Cloud-Container-Dienstes und setzte Backdoors ein, die infrastrukturnahe Binärdateien imitierten. Auf diese Weise mischten sich die Angreifer unter legitime Werkzeuge und blieben unentdeckt. Anschließend wechselten sie zu Azure DevOps – vermutlich mit kompromittierten Anmeldedaten – und nutzten schädliche Pipelines, um weitere Implantate in einem verwalteten Kubernetes-Cluster zu verteilen. Eines dieser Implantate trug den Namen spi – offenbar ein Versuch, sich als Sistema de Pagamentos Instantâneos (SPI) zu tarnen, die zentrale digitale Infrastruktur, die in Brasilien Pix-Zahlungen verarbeitet.
Automatisierte Panels und MikeDor-Backdoor
Slim Spider nutzt zudem verschiedene webbasierte Panels, um die Angriffskette zu automatisieren und zu optimieren:
- NEXUS // Scanner – Ein Panel zum Scannen von API-Endpunkten, das mithilfe von Ollama Endpunkte in 16 Kategorien einteilt, etwa Fintech, Bankwesen, Zahlungsverkehr und Kryptowährung, und sie nach Verfügbarkeit und Authentifizierungsoptionen bewertet.
- Painel de Emails Entra ID – Ein E-Mail-Aufklärungspanel, das kompromittierte Microsoft-365-Postfächer durchsucht und nach Finanzen, Administration und Brasilien sortiert.
- Painel Pix – Ein Transaktionspanel, das dazu dient, massenhaft unbefugte Pix-Überweisungen von kompromittierten Konten auszuführen.
Darüber hinaus entdeckte CrowdStrike ein offen zugängliches Command-and-Control-Panel (C2-Panel), das mit Slim Spider in Verbindung steht. Darauf waren mehrere kompromittierte Hosts brasilianischer Banken und Fintech-Unternehmen zu sehen; vermutlich diente es auch der Exfiltration von Archivdateien.
Eine weitere Schlüsselkomponente im Arsenal von Slim Spider ist MikeDor, eine in Go geschriebene Backdoor, die sensible Informationen abgreifen und Nutzeraktivitäten überwachen kann. Slim Spiders Kenntnis der Cloud-Angriffsfläche ermöglicht es der Gruppe, Anmeldedaten für wertvolle digitale Währungsbestände zu erbeuten, einschließlich Verwahrungsgeheimnissen, die Krypto-Wallets kontrollieren. Ein solcher Zugriff kann für die betroffenen Organisationen verheerende finanzielle Folgen haben. Generell zeigen Cyberkriminelle ein zunehmend ausgeprägtes Cloud-Bewusstsein und zielen gezielt auf die Infrastruktur und Anmeldedaten, die den hochwertigen Finanzanlagen am nächsten liegen.
Breeze Comet: Eine zweite Gruppe attackiert Brasiliens Finanzsysteme
Parallel zu den Erkenntnissen über Slim Spider ist eine weitere Cyberkriminalitätsgruppe aufgetaucht: Breeze Comet, auch bekannt als CL-CRI-1163, Plump Spider und SHADOW-AETHER-064. Sie dringt in brasilianische Finanzsysteme ein, um Zahlungsinfrastrukturen zu missbrauchen und illegale Transaktionen zum eigenen Vorteil durchzuführen. Die portugiesischsprachige Gruppe bricht in Systeme ein, die brasilianische Finanzorganisationen für Transaktionen verwenden, und initiiert selbst Zahlungen. Die frühesten Angriffe gehen auf das Jahr 2024 zurück.
Breeze Comet nutzt nachweislich unzureichend gesicherte brasilianische Regierungswebsites, um Malware zu hosten, und missbraucht deren Reputation für anschließende Social-Engineering-Angriffe. Die Gruppe hat diesen Ansatz auch auf andere Regionen übertragen und kommunale Websites in Nigeria, Paraguay, Ghana und Venezuela kompromittiert. Das ultimative Ziel ist der Zugriff auf die Zahlungsanwendungen der betroffenen Organisationen – darunter Pix, Boleto und das Reserves Transfer System (STR) – um Hunderte betrügerischer Transaktionen auszuführen.
Pix als lukratives Ziel für Cyberkriminelle
Dass zwei unterschiedliche Angreifergruppen ausgerechnet Pix ins Visier nehmen, zeigt, wie das in Brasilien am weitesten verbreitete Zahlungsmittel zu einem lukrativen Ziel über alle Betriebssysteme hinweg geworden ist. Während das lateinamerikanische Cybercrime-Ökosystem historisch vor allem durch massenhaften Betrug an Privatkunden geprägt war, markieren Breeze Comets Kampagnen einen bemerkenswerten Wandel: Sie könnten als Vorbild für künftige finanziell motivierte Angriffe auf Organisationen in der Region dienen.
Der Übergang von opportunistischem Retail-Banking-Betrug zu direkten Intrusionen in die zentrale Finanzinfrastruktur und die Instant-Payment-Systeme ist nicht nur wegen der veränderten Zielsetzung bemerkenswert, sondern auch wegen der dafür erforderlichen technischen Fähigkeiten. Für Finanzinstitute weltweit ist das ein Signal, ihre Cloud-Sicherheitsstrategie zu überdenken – insbesondere den Schutz von Verwahrungsgeheimnissen und Zahlungsinfrastrukturen, die zunehmend im Zentrum professioneller Cyberangriffe stehen.
