Un nuovo gruppo criminale a sfondo finanziario sta attirando l’attenzione nel panorama della cybersecurity in Brasile. Il cluster di attività noto come Slim Spider risulta operativo almeno da marzo 2026 e prende di mira istituzioni finanziarie brasiliane con un approccio che combina conoscenza dei processi bancari locali e competenze avanzate in ambienti cloud.
La caratteristica più rilevante è la capacità di muoversi tra infrastrutture di pagamento istantaneo Pix, piattaforme di asset digitali e sistemi DevOps, puntando a credenziali e segreti che consentono accesso diretto a fondi e wallet di criptovalute.
In un attacco osservato a fine marzo 2026 contro un istituto finanziario, Slim Spider ha eseguito una compromissione multi-fase con l’obiettivo di sottrarre asset in criptovaluta e agganciare account per pagamenti istantanei. Il gruppo avrebbe creato script Bash personalizzati per interrogare i metadata delle istanze cloud e rubare credenziali temporanee tramite connessioni socket. Ottenuto l’accesso, gli attaccanti hanno enumerato i segreti presenti nel gestore di credenziali cloud e hanno clonato e modificato script di estrazione usando comandi di sistema, concentrandosi su credenziali legate alla custodia di asset digitali.
Dopo l’esfiltrazione dei segreti di custodia, gli aggressori hanno sfruttato strumenti legati all’ecosistema Ethereum per derivare l’indirizzo del wallet associato a una chiave privata rubata. Per ridurre il rischio di rilevamento, hanno evitato librerie di terze parti e hanno implementato la firma crittografica direttamente con OpenSSL negli script Bash, segnale di una solida operational security e di una comprensione pratica delle superfici di attacco cloud.
La catena prosegue con movimenti laterali verso nodi in cluster di container e con l’installazione di backdoor camuffate da binari di infrastruttura. Un passaggio chiave riguarda Azure DevOps, dove pipeline malevole avrebbero distribuito ulteriori impianti su Kubernetes gestito. Uno degli impianti è stato chiamato spi, nome scelto per imitare componenti legati al Sistema de Pagamentos Instantâneos, centrale per Pix.
Sono emersi anche pannelli web per automatizzare la ricognizione e le frodi, inclusi scanner di endpoint, moduli di email reconnaissance su Microsoft 365 e un pannello dedicato a trasferimenti Pix non autorizzati in massa. Questo scenario conferma come la sicurezza cloud, la protezione delle credenziali e la difesa delle pipeline DevOps siano oggi elementi decisivi per prevenire frodi finanziarie e furti di criptovalute in Brasile.