JADEPUFFER: il primo ransomware agentico
External Attack Surface Management: ridurre la tua esposizione esterna
Anticipa le minacce al tuo settore con intelligence in tempo reale.
I tuoi dirigenti sono bersagli. Monitora l'esposizione digitale della leadership.
Lab Research
5 min di lettura
Slim Spider: il gruppo brasiliano che attacca il cloud delle banche per arrivare a Pix e alla custodia di criptoasset
Team di Intelligence safe-e
Cyber Threat Intelligence
Un threat actor eCrime brasiliano che, invece di frodare i clienti, attacca il cloud, la CI/CD e la custodia di banche e fintech per arrivare a Pix e ai criptoasset.
Slim Spider è un threat actor eCrime formato molto probabilmente da operatori brasiliani, secondo una valutazione ad alta confidenza di CrowdStrike. Attivo almeno da marzo 2026, il gruppo prende di mira gli ambienti cloud di banche, fintech, società di consulenza finanziaria e case di scommesse del Brasile, con focus su Pix e sulla custodia di criptoasset. Invece di frodare i clienti, attacca l'infrastruttura cloud, di CI/CD e di custodia che sostiene l'operatività finanziaria.
Chi è Slim Spider
CrowdStrike sostiene l'attribuzione al Brasile con tre evidenze: il gruppo prende di mira esclusivamente enti finanziari brasiliani, di cui conosce a fondo il funzionamento; l'implant MikeDor contiene percorsi PDB con la parola portoghese “Trabalho”; e i pannelli web dell'attore sono scritti in portoghese.
L'obiettivo è il guadagno economico. Il gruppo monetizza le intrusioni, molto probabilmente, tramite frodi sui pagamenti su diverse piattaforme, incluso Pix, ed è stato osservato anche mentre esfiltrava dati su asset digitali. CrowdStrike ha trovato un pannello C2 esposto che elencava host compromessi di diverse banche e fintech brasiliane. Il numero di vittime non è stato reso noto.
L'intrusione di marzo 2026, fase per fase
A fine marzo 2026, Slim Spider ha violato l'ambiente cloud di un'istituzione finanziaria brasiliana con custodia di criptoasset e conti di pagamento istantaneo. Il risultato confermato è l'esfiltrazione dei secret di custodia e la persistenza in un cluster di container e Kubernetes. Le perdite finanziarie non sono state rese note.
Fase | Cosa ha fatto il gruppo |
|---|---|
1. Credenziali temporanee | Script Bash propri interrogano il metadata dell'istanza tramite connessioni socket |
2. Enumerazione dei secret | Elenca tutti i secret del gestore di credenziali del cloud |
3. Adattamento degli script | Usa sed per clonare e modificare script di estrazione, concentrandosi sulle credenziali di asset digitali |
4. Esfiltrazione e wallet | Esfiltra i secret di custodia, ricava l'indirizzo Ethereum con cast (Foundry) e firma con OpenSSL |
5. Persistenza | Installa backdoor che imitano binari di infrastruttura sui nodi del cluster di container |
6. Pivot verso DevOps | Passa ad Azure DevOps ed esegue pipeline malevole che distribuiscono “spi”, che imita il Sistema di Pagamenti Istantanei, su Kubernetes |
Catena di intrusione di Slim Spider
Il vettore di accesso iniziale di questa intrusione non è stato reso noto. Il profilo generale del gruppo indica la probabile compromissione di pipeline Git e CI/CD di terze parti.
MikeDor e i pannelli in portoghese
Il principale implant del gruppo è MikeDor, una backdoor proprietaria scritta in Go, con varianti per Linux e Windows. Le versioni Windows sono firmate con certificati di firma del codice fraudolenti, e il gruppo elimina i file dopo l'uso per cancellare le prove. Dei 23 hash pubblicati da CrowdStrike, 16 sono usciti tra il 19 e il 23 giugno 2026, segno di un'ondata di nuove compilazioni o distribuzioni.
Il gruppo gestisce anche tre pannelli web: NEXUS // Scanner, che scansiona endpoint API e usa Ollama per classificarli in 16 categorie; un pannello di ricognizione delle caselle Microsoft 365 tramite Entra ID; e un Pannello Pix per trasferimenti non autorizzati di massa.
Perché il travestimento funziona
Slim Spider dà un nome da infrastruttura a tutto ciò che installa. “spi”, portato su Kubernetes da una pipeline malevola di Azure DevOps, imita il Sistema di Pagamenti Istantanei. Le backdoor sui nodi dei container imitano binari di infrastruttura, e lo staging in /tmp/systemd/ imita un componente legittimo del sistema. All'esterno la logica è la stessa: i domini di C2 sono tutti .com, registrati tramite Cloudflare, con nomi che imitano servizi di sicurezza, finanza e sviluppo.
La conseguenza per chi difende è diretta: un inventario validato dal nome approva l'implant. Il confronto va fatto con le immagini e i workload approvati. Lo stesso ragionamento vale per il blocco: poiché tutta la registrazione passa per Cloudflare, va fatto per dominio e non per provider.
Cosa è confermato e cosa è ancora probabile
Confermato da CrowdStrike: nell'intrusione di marzo 2026, l'esfiltrazione dei secret di custodia e la persistenza in container e Kubernetes.
Valutato ad alta confidenza: l'origine brasiliana del gruppo.
Probabile: l'accesso iniziale tramite pipeline Git e CI/CD di terze parti e la monetizzazione tramite frodi sui pagamenti, incluso Pix.
Non reso noto: il vettore di questa intrusione, il numero di vittime, le perdite, la struttura del gruppo, il modo in cui gli asset vengono riciclati e i fornitori coinvolti.
Tutta la copertura della stampa deriva da un'unica fonte, CrowdStrike.
Cosa fare adesso
Indicatori pubblicati: bloccare gli indicatori diffusi da CrowdStrike e cercare a ritroso gli hash di MikeDor nell'EDR, con monitoraggio di DNS e proxy.
Supply chain del codice: rivedere gli accessi di terze parti a repository Git e pipeline, ruotare i token e richiedere approvazione per le modifiche alle pipeline.
Metadata del cloud: richiedere la versione protetta del servizio (ad esempio IMDSv2 su AWS) e limitare l'accesso di pod e processi.
Secret di custodia: separarli dalle credenziali comuni, con accesso su richiesta, avvisi per enumerazioni massive e chiavi non esportabili (HSM o MPC).
Azure DevOps e Kubernetes: trattare il CI/CD come superficie di produzione, con scope e RBAC minimi, controllo di ammissione e avvisi per nomi che imitano l'infrastruttura, come spi.
Pix: limiti e doppia approvazione per i trasferimenti di massa e monitoraggio dei volumi anomali.
Conclusione
Slim Spider segna un cambiamento nel crimine finanziario brasiliano: il bersaglio non è più il cliente, ma l'infrastruttura che sostiene l'operatività. Gli indicatori pubblicati consentono un'azione immediata di blocco e caccia, ma hash e domini cambiano rapidamente. La difesa deve combinare gli IOC con il rilevamento comportamentale e con controlli su identità, secret e pipeline.
L'analisi completa sulla piattaforma safe-e-CTI
I clienti safe-e trovano l'analisi tecnica completa di Slim Spider nel modulo Intelligence, in Lab Research: il report con le raccomandazioni, le TTP mappate e gli IoC da scaricare in CSV, pronti da esportare verso SIEM, SOAR, firewall ed EDR. Parla con il nostro team.
Riferimenti
CrowdStrike. Slim Spider Adversary Profile. 30/09/2026. https://www.crowdstrike.com/en-us/adversaries/slim-spider/
CrowdStrike Falcon Intelligence. Lista de indicadores de MikeDor e Slim Spider (50 IOCs), com os relatórios “Adversary Debut: SLIM SPIDER” e “Elite Intrusion Digest: 24 a 30 de abril de 2026”. 04/10/2026. Portal Falcon Intelligence.
The Hacker News (Ravie Lakshmanan). Slim Spider Steals Crypto Custody Secrets From Brazilian Financial Institution. 08/09/2026. https://thehackernews.com/2026/09/slim-spider-steals-crypto-custody.html
Total Security. Slim Spider rouba segredos de custódia de criptomoedas de instituição financeira brasileira. 09/09/2026. https://totalsecurity.com.br/noticia/slim-spider-rouba-segredos-de-custodia-de-criptomoedas-de-instituicao-financeira-brasileira
CyberStack. Slim Spider: Brazil e-crime cluster steals crypto custody secrets and Pix-linked cloud creds. 08/09/2026. https://cyberstack.org/n/slim-spider-brazil-20260908
SempreUpdate. Slim Spider: Ataque hacker mira nuvem e Pix no Brasil. 08/09/2026. https://sempreupdate.com.br/slim-spider-ataque-nuvem-pix-criptomoedas/
The Daily Tech Feed. Slim Spider Infiltrates Brazilian Crypto Custody Systems. 08/09/2026. https://thedailytechfeed.com/slim-spider-infiltrates-brazilian-crypto-custody-systems/
