{"id":51597,"date":"2026-09-08T19:06:26","date_gmt":"2026-09-08T17:06:26","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51597"},"modified":"2026-09-08T19:06:26","modified_gmt":"2026-09-08T17:06:26","slug":"slim-spider-krypto-verwahrungsgeheimnisse-angriff-brasilien-finanzinstitut-pix-crowdstrike-cybercrime-cloud-sicherheit-bash-skripte-ethereum-open-ssl-backdoor-kubernetes-azure-devops-spi-nexus-scanner","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/slim-spider-krypto-verwahrungsgeheimnisse-angriff-brasilien-finanzinstitut-pix-crowdstrike-cybercrime-cloud-sicherheit-bash-skripte-ethereum-open-ssl-backdoor-kubernetes-azure-devops-spi-nexus-scanner\/","title":{"rendered":"Slim Spider stiehlt Krypto-Verwahrungsgeheimnisse von brasilianischem Finanzinstitut"},"content":{"rendered":"<p>Ein bislang unbekannter, finanziell motivierter Angreifer wird seit mindestens M\u00e4rz 2026 mit Angriffen auf brasilianische Finanzinstitute in Verbindung gebracht. Der Cybersicherheitsanbieter <a href=\"https:\/\/www.crowdstrike.com\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">CrowdStrike<\/a> verfolgt die in Brasilien aktive Gruppe unter dem Namen <strong>Slim Spider<\/strong>. Sie zielt gezielt auf Krypto-Verwahrungsgeheimnisse und Instant-Payment-Dienste wie Pix ab \u2013 und zeigt dabei ein bemerkenswert tiefes Verst\u00e4ndnis der lokalen Finanzinfrastruktur.<\/p>\n<h2>Slim Spider stiehlt Krypto-Verwahrungsgeheimnisse: Die Angriffskette<\/h2>\n<h3>Was ist Slim Spider?<\/h3>\n<p><strong>Slim Spider<\/strong> ist eine bislang nicht dokumentierte, finanziell motivierte Hackergruppe aus Brasilien, die seit mindestens M\u00e4rz 2026 Finanzinstitute angreift. CrowdStrike ordnet sie als Cybercrime-Cluster ein, das es auf Kryptow\u00e4hrungsbest\u00e4nde, digitale Verwahrungsgeheimnisse und Instant-Payment-Konten abgesehen hat.<\/p>\n<p>Ende M\u00e4rz 2026 orchestrierte Slim Spider eine mehrstufige Intrusion bei einem brasilianischen Finanzinstitut und nahm dabei die Kryptoverm\u00f6genswerte und Instant-Payment-Konten des Unternehmens ins Visier. Die Angreifer entwickelten eigene Bash-Skripte, die die Metadaten der Cloud-Instanz abfragen, um \u00fcber Socket-Verbindungen tempor\u00e4re Cloud-Anmeldedaten zu stehlen. Nachdem sie Zugang zur Cloud-Umgebung der Organisation erlangt hatten, listeten sie alle im Cloud-Credential-Manager gespeicherten Geheimnisse auf und nutzten den Befehl <strong>sed<\/strong>, um Skripte zur Extraktion von Geheimnissen zu klonen und zu modifizieren. Der Fokus lag dabei auf Anmeldedaten im Zusammenhang mit digitalen Finanzanlagen.<\/p>\n<p>Nach der Exfiltration der Krypto-Verwahrungsgeheimnisse rief Slim Spider <strong>cast<\/strong> auf, eine Komponente des Foundry-Ethereum-Entwicklungs-Toolkits, um die zu einem gestohlenen privaten Schl\u00fcssel geh\u00f6rende Ethereum-Wallet-Adresse abzuleiten. Statt auf Drittanbieter-Bibliotheken zu setzen, die ein Erkennungsrisiko dargestellt h\u00e4tten, implementierte der Angreifer die kryptografische Signierung direkt per OpenSSL in den Bash-Skripten. Diese bewusste Entscheidung zeugt von ausgepr\u00e4gtem operativem Sicherheitsbewusstsein und einem differenzierten Verst\u00e4ndnis der Cloud-Umgebung.<\/p>\n<h2>Tarnung und laterale Bewegung in der Cloud<\/h2>\n<p>Bei dem dokumentierten Angriff verschaffte sich Slim Spider Zugang zu Knoten in einem Cluster eines Cloud-Container-Dienstes und setzte Backdoors ein, die infrastrukturnahe Bin\u00e4rdateien imitierten. Auf diese Weise mischten sich die Angreifer unter legitime Werkzeuge und blieben unentdeckt. Anschlie\u00dfend wechselten sie zu Azure DevOps \u2013 vermutlich mit kompromittierten Anmeldedaten \u2013 und nutzten sch\u00e4dliche Pipelines, um weitere Implantate in einem verwalteten Kubernetes-Cluster zu verteilen. Eines dieser Implantate trug den Namen <strong>spi<\/strong> \u2013 offenbar ein Versuch, sich als Sistema de Pagamentos Instant\u00e2neos (SPI) zu tarnen, die zentrale digitale Infrastruktur, die in Brasilien Pix-Zahlungen verarbeitet.<\/p>\n<h2>Automatisierte Panels und MikeDor-Backdoor<\/h2>\n<p>Slim Spider nutzt zudem verschiedene webbasierte Panels, um die Angriffskette zu automatisieren und zu optimieren:<\/p>\n<ul>\n<li><strong>NEXUS \/\/ Scanner<\/strong> \u2013 Ein Panel zum Scannen von API-Endpunkten, das mithilfe von Ollama Endpunkte in 16 Kategorien einteilt, etwa Fintech, Bankwesen, Zahlungsverkehr und Kryptow\u00e4hrung, und sie nach Verf\u00fcgbarkeit und Authentifizierungsoptionen bewertet.<\/li>\n<li><strong>Painel de Emails Entra ID<\/strong> \u2013 Ein E-Mail-Aufkl\u00e4rungspanel, das kompromittierte Microsoft-365-Postf\u00e4cher durchsucht und nach Finanzen, Administration und Brasilien sortiert.<\/li>\n<li><strong>Painel Pix<\/strong> \u2013 Ein Transaktionspanel, das dazu dient, massenhaft unbefugte Pix-\u00dcberweisungen von kompromittierten Konten auszuf\u00fchren.<\/li>\n<\/ul>\n<p>Dar\u00fcber hinaus entdeckte CrowdStrike ein offen zug\u00e4ngliches Command-and-Control-Panel (C2-Panel), das mit Slim Spider in Verbindung steht. Darauf waren mehrere kompromittierte Hosts brasilianischer Banken und Fintech-Unternehmen zu sehen; vermutlich diente es auch der Exfiltration von Archivdateien.<\/p>\n<p>Eine weitere Schl\u00fcsselkomponente im Arsenal von Slim Spider ist <strong>MikeDor<\/strong>, eine in Go geschriebene Backdoor, die sensible Informationen abgreifen und Nutzeraktivit\u00e4ten \u00fcberwachen kann. Slim Spiders Kenntnis der Cloud-Angriffsfl\u00e4che erm\u00f6glicht es der Gruppe, Anmeldedaten f\u00fcr wertvolle digitale W\u00e4hrungsbest\u00e4nde zu erbeuten, einschlie\u00dflich Verwahrungsgeheimnissen, die Krypto-Wallets kontrollieren. Ein solcher Zugriff kann f\u00fcr die betroffenen Organisationen verheerende finanzielle Folgen haben. Generell zeigen Cyberkriminelle ein zunehmend ausgepr\u00e4gtes Cloud-Bewusstsein und zielen gezielt auf die Infrastruktur und Anmeldedaten, die den hochwertigen Finanzanlagen am n\u00e4chsten liegen.<\/p>\n<h2>Breeze Comet: Eine zweite Gruppe attackiert Brasiliens Finanzsysteme<\/h2>\n<p>Parallel zu den Erkenntnissen \u00fcber Slim Spider ist eine weitere Cyberkriminalit\u00e4tsgruppe aufgetaucht: <strong><a href=\"https:\/\/overcentral.com\/de\/breeze-comet-betruegerische-transaktionen-brasilien-50894\/\" title=\"Breeze Comet f\u00fchrt Hunderte betr\u00fcgerische Transaktionen via brasilianische Zahlungssysteme aus\" data-iacss-internal=\"1\">Breeze Comet<\/a><\/strong>, auch bekannt als CL-CRI-1163, Plump Spider und SHADOW-AETHER-064. Sie dringt in brasilianische Finanzsysteme ein, um Zahlungsinfrastrukturen zu missbrauchen und illegale Transaktionen zum eigenen Vorteil durchzuf\u00fchren. Die portugiesischsprachige Gruppe bricht in Systeme ein, die brasilianische Finanzorganisationen f\u00fcr Transaktionen verwenden, und initiiert selbst Zahlungen. Die fr\u00fchesten Angriffe gehen auf das Jahr 2024 zur\u00fcck.<\/p>\n<p>Breeze Comet nutzt nachweislich unzureichend gesicherte brasilianische Regierungswebsites, um Malware zu hosten, und missbraucht deren Reputation f\u00fcr anschlie\u00dfende Social-Engineering-Angriffe. Die Gruppe hat diesen Ansatz auch auf andere Regionen \u00fcbertragen und kommunale Websites in Nigeria, Paraguay, Ghana und Venezuela kompromittiert. Das ultimative Ziel ist der Zugriff auf die Zahlungsanwendungen der betroffenen Organisationen \u2013 darunter Pix, Boleto und das Reserves Transfer System (STR) \u2013 um Hunderte betr\u00fcgerischer Transaktionen auszuf\u00fchren.<\/p>\n<h2>Pix als lukratives Ziel f\u00fcr Cyberkriminelle<\/h2>\n<p>Dass zwei unterschiedliche Angreifergruppen ausgerechnet Pix ins Visier nehmen, zeigt, wie das in Brasilien am weitesten verbreitete Zahlungsmittel zu einem lukrativen Ziel \u00fcber alle Betriebssysteme hinweg geworden ist. W\u00e4hrend das lateinamerikanische Cybercrime-\u00d6kosystem historisch vor allem durch massenhaften Betrug an Privatkunden gepr\u00e4gt war, markieren Breeze Comets Kampagnen einen bemerkenswerten Wandel: Sie k\u00f6nnten als Vorbild f\u00fcr k\u00fcnftige finanziell motivierte Angriffe auf Organisationen in der Region dienen.<\/p>\n<p>Der \u00dcbergang von opportunistischem Retail-Banking-Betrug zu direkten Intrusionen in die zentrale Finanzinfrastruktur und die Instant-Payment-Systeme ist nicht nur wegen der ver\u00e4nderten Zielsetzung bemerkenswert, sondern auch wegen der daf\u00fcr erforderlichen technischen F\u00e4higkeiten. F\u00fcr Finanzinstitute weltweit ist das ein Signal, ihre Cloud-Sicherheitsstrategie zu \u00fcberdenken \u2013 insbesondere den Schutz von Verwahrungsgeheimnissen und Zahlungsinfrastrukturen, die zunehmend im Zentrum professioneller Cyberangriffe stehen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ein bislang unbekannter, finanziell motivierter Angreifer wird seit mindestens M\u00e4rz 2026 mit Angriffen auf brasilianische Finanzinstitute in Verbindung gebracht. Der Cybersicherheitsanbieter CrowdStrike verfolgt die in Brasilien aktive Gruppe unter dem Namen Slim Spider. Sie zielt gezielt auf Krypto-Verwahrungsgeheimnisse und Instant-Payment-Dienste wie Pix ab \u2013 und zeigt dabei ein bemerkenswert tiefes Verst\u00e4ndnis der lokalen Finanzinfrastruktur. Slim [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":54047,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51597.png","fifu_image_alt":"Slim Spider stiehlt Krypto-Verwahrungsgeheimnisse von brasilianischem Finanzinstitut","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51597","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51597.png","fifu_image_alt":"Slim Spider stiehlt Krypto-Verwahrungsgeheimnisse von brasilianischem Finanzinstitut","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51597","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51597"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51597\/revisions"}],"predecessor-version":[{"id":51599,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51597\/revisions\/51599"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54047"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51597"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51597"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51597"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}