JADEPUFFER: o primeiro ransomware agêntico
External Attack Surface Management: reduzindo sua exposição externa
Antecipe as ameaças ao seu setor com inteligência em tempo real.
Seus executivos são alvos. Monitore a exposição digital da liderança.
Lab Research
5 min de leitura
Slim Spider: o grupo possivelmente brasileiro que ataca a nuvem de bancos para chegar ao Pix e à custódia de criptoativos
Time de Inteligência safe-e
Cyber Threat Intelligence
Um threat actor de eCrime brasileiro que, em vez de fraudar clientes, invade a nuvem, o CI/CD e a custódia de bancos e fintechs para chegar ao Pix e aos criptoativos.
O Slim Spider é um threat actor de eCrime, muito provavelmente formado por operadores brasileiros, segundo avaliação de alta confiança da CrowdStrike. Ativo desde pelo menos março de 2026, o grupo mira ambientes de nuvem de bancos, fintechs, consultorias financeiras e casas de apostas do Brasil, com foco no Pix e na custódia de criptoativos. Em vez de fraudar clientes, ele ataca a infraestrutura de nuvem, de CI/CD e de custódia que sustenta a operação financeira.
Quem é o Slim Spider
A CrowdStrike sustenta a atribuição ao Brasil com três evidências: o grupo mira exclusivamente entidades financeiras brasileiras, cujo funcionamento conhece em profundidade; o implante MikeDor contém caminhos PDB com a palavra “Trabalho”; e os painéis web do ator são escritos em português.
O objetivo é ganho financeiro. O grupo monetiza as intrusões, muito provavelmente, por fraude de pagamentos em diversas plataformas, inclusive o Pix, e também foi observado exfiltrando dados de ativos digitais. A CrowdStrike encontrou um painel de C2 exposto que listava hosts comprometidos de vários bancos e fintechs brasileiros. O número de vítimas não foi divulgado.
A intrusão de março de 2026, fase a fase
No fim de março de 2026, o Slim Spider invadiu o ambiente de nuvem de uma instituição financeira brasileira com custódia de criptoativos e contas de pagamento instantâneo. O resultado confirmado foi a exfiltração de secrets de custódia e a persistência em cluster de contêineres e Kubernetes. As perdas financeiras não foram divulgadas.
Fase | O que o grupo fez |
|---|---|
1. Credenciais temporárias | Scripts Bash próprios consultam o metadata da instância por conexões de socket |
2. Enumeração de secrets | Lista todos os secrets do gerenciador de credenciais da nuvem |
3. Adaptação de scripts | Usa o sed para clonar e modificar scripts de extração, focando credenciais de ativos digitais |
4. Exfiltração e carteira | Exfiltra os secrets de custódia, deriva o endereço Ethereum com o cast (Foundry) e assina com OpenSSL |
5. Persistência | Instala backdoors que imitam binários de infraestrutura em nós do cluster de contêineres |
6. Pivô para DevOps | Migra para o Azure DevOps e roda pipelines maliciosos que implantam o “spi”, que imita o Sistema de Pagamentos Instantâneos, no Kubernetes |
Cadeia de intrusão do Slim Spider
O vetor de acesso inicial dessa intrusão não foi divulgado. O perfil geral do grupo indica o provável comprometimento de pipelines Git e CI/CD de terceiros.
MikeDor e os painéis em português
O principal implante do grupo é o MikeDor, um backdoor próprio escrito em Go, com variantes para Linux e Windows. As versões Windows são assinadas com certificados de assinatura de código fraudulentos, e o grupo remove os arquivos após o uso para apagar evidências. Dos 23 hashes publicados pela CrowdStrike, 16 saíram entre 19 e 23 de junho de 2026, o que indica uma onda de novas compilações ou implantações.
O grupo também opera três painéis web: o NEXUS // Scanner, que varre endpoints de API e usa o Ollama para classificá-los em 16 categorias; um painel de reconhecimento em caixas Microsoft 365 via Entra ID; e um Painel Pix para transferências não autorizadas em massa.
Por que o disfarce funciona
O Slim Spider dá nome de infraestrutura a tudo o que instala. O “spi”, levado ao Kubernetes por um pipeline malicioso do Azure DevOps, imita o Sistema de Pagamentos Instantâneos. Os backdoors nos nós de contêineres imitam binários de infraestrutura, e o staging em /tmp/systemd/ imita um componente legítimo do sistema. Do lado de fora, a lógica é a mesma: os domínios de C2 são todos .com, registrados via Cloudflare, com nomes que imitam serviços de segurança, finanças e desenvolvimento.
A consequência para quem defende é direta: um inventário validado pelo nome aprova o implante. A comparação precisa ser feita contra as imagens e os workloads aprovados. No bloqueio vale o mesmo raciocínio: como todo o registro passa pela Cloudflare, ele deve ser feito por domínio, e não por provedor.
O que está confirmado e o que ainda é provável
Confirmado pela CrowdStrike: na intrusão de março de 2026, a exfiltração de secrets de custódia e a persistência em contêineres e Kubernetes.
Avaliado com alta confiança: a origem brasileira do grupo.
Provável: o acesso inicial por pipelines Git e CI/CD de terceiros e a monetização por fraude de pagamentos, inclusive Pix.
Não divulgado: o vetor desta intrusão, o número de vítimas, as perdas, a estrutura do grupo, a forma de lavagem dos ativos e os fornecedores afetados.
Todas as coberturas de imprensa derivam de uma fonte única, a CrowdStrike.
O que fazer agora
Indicadores publicados: bloquear os indicadores divulgados pela CrowdStrike e buscar retroativamente os hashes do MikeDor no EDR, com monitoramento de DNS e proxy.
Cadeia de suprimentos de código: revisar acessos de terceiros a repositórios Git e pipelines, rotacionar tokens e exigir aprovação para alterações em pipelines.
Metadata de nuvem: exigir a versão protegida do serviço (por exemplo, IMDSv2 na AWS) e restringir o acesso de pods e processos.
Secrets de custódia: segregar das credenciais comuns, com acesso sob demanda, alertas para enumeração em massa e chaves não exportáveis (HSM ou MPC).
Azure DevOps e Kubernetes: tratar o CI/CD como superfície de produção, com escopo e RBAC mínimos, controle de admissão e alertas para nomes que imitam infraestrutura, como spi.
Pix: limites e aprovação dupla para transferências em massa e monitoramento de volume anômalo.
Conclusão
O Slim Spider representa uma mudança no crime financeiro brasileiro: o alvo deixa de ser o cliente e passa a ser a infraestrutura que sustenta a operação. Os indicadores publicados permitem ação imediata de bloqueio e caça, mas hashes e domínios mudam com rapidez. A defesa precisa combinar os IOCs com detecção comportamental e com controles sobre identidades, secrets e pipelines.
A análise completa na plataforma safe-e-CTI
Clientes safe-e encontram a análise técnica completa do Slim Spider no módulo Intelligence, em Lab Research: o relatório com recomendações, as TTPs mapeadas e os IoCs para download em CSV, prontos para exportar para SIEM, SOAR, firewall e EDR. Fale com nosso time.
Referências
CrowdStrike. Slim Spider Adversary Profile. 30/09/2026. https://www.crowdstrike.com/en-us/adversaries/slim-spider/
CrowdStrike Falcon Intelligence. Lista de indicadores de MikeDor e Slim Spider (50 IOCs), com os relatórios “Adversary Debut: SLIM SPIDER” e “Elite Intrusion Digest: 24 a 30 de abril de 2026”. 04/10/2026. Portal Falcon Intelligence.
The Hacker News (Ravie Lakshmanan). Slim Spider Steals Crypto Custody Secrets From Brazilian Financial Institution. 08/09/2026. https://thehackernews.com/2026/09/slim-spider-steals-crypto-custody.html
Total Security. Slim Spider rouba segredos de custódia de criptomoedas de instituição financeira brasileira. 09/09/2026. https://totalsecurity.com.br/noticia/slim-spider-rouba-segredos-de-custodia-de-criptomoedas-de-instituicao-financeira-brasileira
CyberStack. Slim Spider: Brazil e-crime cluster steals crypto custody secrets and Pix-linked cloud creds. 08/09/2026. https://cyberstack.org/n/slim-spider-brazil-20260908
SempreUpdate. Slim Spider: Ataque hacker mira nuvem e Pix no Brasil. 08/09/2026. https://sempreupdate.com.br/slim-spider-ataque-nuvem-pix-criptomoedas/
The Daily Tech Feed. Slim Spider Infiltrates Brazilian Crypto Custody Systems. 08/09/2026. https://thedailytechfeed.com/slim-spider-infiltrates-brazilian-crypto-custody-systems/
