JADEPUFFER: el primer ransomware agéntico
External Attack Surface Management: reduciendo tu exposición externa
Anticípate a las amenazas de tu sector con inteligencia en tiempo real.
Tus directivos son objetivos. Monitorea la exposición digital del liderazgo.
Lab Research
5 min de lectura
Slim Spider: el grupo brasileño que ataca la nube de los bancos para llegar a Pix y a la custodia de criptoactivos
Equipo de Inteligencia safe-e
Cyber Threat Intelligence
Un threat actor de eCrime brasileño que, en lugar de defraudar a clientes, invade la nube, el CI/CD y la custodia de bancos y fintechs para llegar a Pix y a los criptoactivos.
Slim Spider es un threat actor de eCrime, muy probablemente formado por operadores brasileños, según una evaluación de alta confianza de CrowdStrike. Activo desde al menos marzo de 2026, el grupo apunta a entornos de nube de bancos, fintechs, consultoras financieras y casas de apuestas de Brasil, con foco en Pix y en la custodia de criptoactivos. En lugar de defraudar a clientes, ataca la infraestructura de nube, de CI/CD y de custodia que sostiene la operación financiera.
Quién es Slim Spider
CrowdStrike sustenta la atribución a Brasil con tres evidencias: el grupo apunta exclusivamente a entidades financieras brasileñas, cuyo funcionamiento conoce en profundidad; el implante MikeDor contiene rutas PDB con la palabra en portugués “Trabalho”; y los paneles web del actor están escritos en portugués.
El objetivo es el lucro. El grupo monetiza las intrusiones, muy probablemente, mediante fraude de pagos en diversas plataformas, incluido Pix, y también fue observado exfiltrando datos de activos digitales. CrowdStrike encontró un panel de C2 expuesto que listaba hosts comprometidos de varios bancos y fintechs brasileños. El número de víctimas no fue divulgado.
La intrusión de marzo de 2026, fase por fase
A finales de marzo de 2026, Slim Spider invadió el entorno de nube de una institución financiera brasileña con custodia de criptoactivos y cuentas de pago instantáneo. El resultado confirmado fue la exfiltración de secrets de custodia y la persistencia en un clúster de contenedores y Kubernetes. Las pérdidas financieras no fueron divulgadas.
Fase | Qué hizo el grupo |
|---|---|
1. Credenciales temporales | Scripts Bash propios consultan el metadata de la instancia mediante conexiones de socket |
2. Enumeración de secrets | Lista todos los secrets del gestor de credenciales de la nube |
3. Adaptación de scripts | Usa sed para clonar y modificar scripts de extracción, enfocados en credenciales de activos digitales |
4. Exfiltración y billetera | Exfiltra los secrets de custodia, deriva la dirección Ethereum con cast (Foundry) y firma con OpenSSL |
5. Persistencia | Instala backdoors que imitan binarios de infraestructura en nodos del clúster de contenedores |
6. Pivote a DevOps | Migra a Azure DevOps y ejecuta pipelines maliciosos que despliegan “spi”, que imita el Sistema de Pagos Instantáneos, en Kubernetes |
Cadena de intrusión de Slim Spider
El vector de acceso inicial de esta intrusión no fue divulgado. El perfil general del grupo indica el probable compromiso de pipelines Git y CI/CD de terceros.
MikeDor y los paneles en portugués
El principal implante del grupo es MikeDor, un backdoor propio escrito en Go, con variantes para Linux y Windows. Las versiones Windows están firmadas con certificados de firma de código fraudulentos, y el grupo elimina los archivos después de usarlos para borrar evidencias. De los 23 hashes publicados por CrowdStrike, 16 salieron entre el 19 y el 23 de junio de 2026, lo que indica una ola de nuevas compilaciones o despliegues.
El grupo también opera tres paneles web: NEXUS // Scanner, que escanea endpoints de API y usa Ollama para clasificarlos en 16 categorías; un panel de reconocimiento de buzones de Microsoft 365 vía Entra ID; y un Panel Pix para transferencias no autorizadas en masa.
Por qué funciona el disfraz
Slim Spider da nombre de infraestructura a todo lo que instala. “spi”, llevado a Kubernetes por un pipeline malicioso de Azure DevOps, imita el Sistema de Pagos Instantáneos. Los backdoors en los nodos de contenedores imitan binarios de infraestructura, y el staging en /tmp/systemd/ imita un componente legítimo del sistema. Hacia afuera, la lógica es la misma: los dominios de C2 son todos .com, registrados vía Cloudflare, con nombres que imitan servicios de seguridad, finanzas y desarrollo.
La consecuencia para quien defiende es directa: un inventario validado por el nombre aprueba el implante. La comparación debe hacerse contra las imágenes y los workloads aprobados. En el bloqueo vale el mismo razonamiento: como todo el registro pasa por Cloudflare, debe hacerse por dominio y no por proveedor.
Qué está confirmado y qué sigue siendo probable
Confirmado por CrowdStrike: en la intrusión de marzo de 2026, la exfiltración de secrets de custodia y la persistencia en contenedores y Kubernetes.
Evaluado con alta confianza: el origen brasileño del grupo.
Probable: el acceso inicial por pipelines Git y CI/CD de terceros y la monetización mediante fraude de pagos, incluido Pix.
No divulgado: el vector de esta intrusión, el número de víctimas, las pérdidas, la estructura del grupo, la forma de lavado de los activos y los proveedores afectados.
Todas las coberturas de prensa derivan de una única fuente, CrowdStrike.
Qué hacer ahora
Indicadores publicados: bloquear los indicadores divulgados por CrowdStrike y buscar de forma retroactiva los hashes de MikeDor en el EDR, con monitoreo de DNS y proxy.
Cadena de suministro de código: revisar accesos de terceros a repositorios Git y pipelines, rotar tokens y exigir aprobación para cambios en pipelines.
Metadata de nube: exigir la versión protegida del servicio (por ejemplo, IMDSv2 en AWS) y restringir el acceso de pods y procesos.
Secrets de custodia: segregarlos de las credenciales comunes, con acceso bajo demanda, alertas de enumeración masiva y claves no exportables (HSM o MPC).
Azure DevOps y Kubernetes: tratar el CI/CD como superficie de producción, con alcance y RBAC mínimos, control de admisión y alertas para nombres que imitan infraestructura, como spi.
Pix: límites y doble aprobación para transferencias masivas y monitoreo de volumen anómalo.
Conclusión
Slim Spider representa un cambio en el crimen financiero brasileño: el objetivo deja de ser el cliente y pasa a ser la infraestructura que sostiene la operación. Los indicadores publicados permiten una acción inmediata de bloqueo y búsqueda, pero los hashes y dominios cambian con rapidez. La defensa debe combinar los IOCs con detección por comportamiento y con controles sobre identidades, secrets y pipelines.
El análisis completo en la plataforma safe-e-CTI
Los clientes de safe-e encuentran el análisis técnico completo de Slim Spider en el módulo Intelligence, en Lab Research: el informe con recomendaciones, las TTPs mapeadas y los IoCs para descargar en CSV, listos para exportar a SIEM, SOAR, firewall y EDR. Hable con nuestro equipo.
Referencias
CrowdStrike. Slim Spider Adversary Profile. 30/09/2026. https://www.crowdstrike.com/en-us/adversaries/slim-spider/
CrowdStrike Falcon Intelligence. Lista de indicadores de MikeDor e Slim Spider (50 IOCs), com os relatórios “Adversary Debut: SLIM SPIDER” e “Elite Intrusion Digest: 24 a 30 de abril de 2026”. 04/10/2026. Portal Falcon Intelligence.
The Hacker News (Ravie Lakshmanan). Slim Spider Steals Crypto Custody Secrets From Brazilian Financial Institution. 08/09/2026. https://thehackernews.com/2026/09/slim-spider-steals-crypto-custody.html
Total Security. Slim Spider rouba segredos de custódia de criptomoedas de instituição financeira brasileira. 09/09/2026. https://totalsecurity.com.br/noticia/slim-spider-rouba-segredos-de-custodia-de-criptomoedas-de-instituicao-financeira-brasileira
CyberStack. Slim Spider: Brazil e-crime cluster steals crypto custody secrets and Pix-linked cloud creds. 08/09/2026. https://cyberstack.org/n/slim-spider-brazil-20260908
SempreUpdate. Slim Spider: Ataque hacker mira nuvem e Pix no Brasil. 08/09/2026. https://sempreupdate.com.br/slim-spider-ataque-nuvem-pix-criptomoedas/
The Daily Tech Feed. Slim Spider Infiltrates Brazilian Crypto Custody Systems. 08/09/2026. https://thedailytechfeed.com/slim-spider-infiltrates-brazilian-crypto-custody-systems/
