Slim Spider Curi Rahasia Custody Kripto dari Institusi Keuangan Brasil

Kelompok ancaman bermotif finansial yang sebelumnya belum terdokumentasi telah dikaitkan dengan serangan yang menargetkan institusi keuangan Brasil sejak setidaknya Maret 2026.

Perusahaan keamanan siber CrowdStrike melacak aktivitas yang berasal dari Brasil tersebut dengan nama Slim Spider.

“Pelaku menunjukkan pengetahuan operasional yang mendalam mengenai infrastruktur keuangan Brasil, termasuk layanan pembayaran instan Pix, platform aset digital, dan lingkungan cloud milik entitas keuangan,” kata CrowdStrike.

Slim Spider diketahui melakukan serangan multi-tahap terhadap sebuah institusi keuangan berbasis Brasil pada akhir Maret 2026, dengan menargetkan aset cryptocurrency dan rekening pembayaran instan milik entitas tersebut.

Mencuri Kredensial Cloud

Sebagai bagian dari serangan tersebut, kelompok e-crime ini mengembangkan skrip Bash khusus yang melakukan kueri terhadap metadata instance cloud untuk mencuri kredensial cloud sementara melalui koneksi socket.

Setelah memperoleh akses ke lingkungan cloud organisasi, pelaku melakukan enumerasi terhadap seluruh secret yang tersedia dan disimpan di cloud credential manager. Mereka kemudian menggunakan perintah sed untuk menyalin dan memodifikasi skrip yang digunakan untuk mengekstrak secret.

Pendekatan tersebut secara khusus berfokus pada kredensial yang berkaitan dengan aset keuangan digital.

Menargetkan Rahasia Custody Kripto

Setelah berhasil mengekstrak secret custody aset digital, Slim Spider menggunakan cast, sebuah komponen dari Foundry Ethereum developer toolkit, untuk memperoleh alamat dompet Ethereum yang terkait dengan private key yang telah dicuri.

Alih-alih menggunakan library pihak ketiga yang dapat meningkatkan risiko terdeteksi, pelaku menerapkan proses penandatanganan kriptografi berbasis cloud secara langsung menggunakan OpenSSL di dalam skrip Bash mereka.

Pilihan tersebut menunjukkan kesadaran operasional yang matang serta pemahaman yang mendalam mengenai lingkungan cloud.

Bergerak ke Infrastruktur Cloud

Dalam serangan yang diamati, Slim Spider kemudian berupaya mendapatkan akses ke node yang berjalan dalam cluster layanan container berbasis cloud.

Pelaku juga memasang backdoor yang menyamar sebagai binary terkait infrastruktur agar terlihat seperti perangkat atau komponen yang sah dan dapat menghindari deteksi.

Selanjutnya, pelaku melakukan pivot ke Azure DevOps, kemungkinan menggunakan kredensial yang telah dikompromikan, untuk menjalankan pipeline berbahaya yang menyebarkan implant tambahan ke seluruh managed Kubernetes cluster.

Salah satu implant tersebut diberi nama “spi”, yang merupakan upaya untuk menyamar sebagai Sistema de Pagamentos Instantâneos (SPI), yaitu infrastruktur digital utama yang memproses pembayaran Pix di Brasil.

Panel yang Digunakan Slim Spider

Slim Spider juga dikaitkan dengan berbagai panel berbasis web yang digunakan untuk mengotomatisasi dan menyederhanakan berbagai tahapan serangan.

NEXUS // Scanner merupakan panel pemindaian endpoint API yang menggunakan Ollama untuk mengelompokkan endpoint ke dalam 16 kategori, seperti fintech, perbankan, pembayaran, dan cryptocurrency, serta memberikan peringkat berdasarkan ketersediaan dan opsi autentikasi.

Painel de Emails Entra ID merupakan panel reconnaissance email yang mencari mailbox Microsoft 365 yang telah dikompromikan dan mengelompokkannya ke dalam kategori finance, admin, dan Brasil.

Painel Pix merupakan panel transaksi yang dirancang untuk menjalankan transfer Pix tidak sah dalam jumlah besar dari rekening yang telah dikompromikan.

Panel C2 yang Terbuka

CrowdStrike mengatakan mereka menemukan sebuah panel command-and-control (C2) yang terbuka dan terhubung dengan pelaku ancaman tersebut.

Panel tersebut menampilkan sejumlah host yang telah dikompromikan dari berbagai bank dan organisasi fintech berbasis Brasil serta kemungkinan digunakan untuk mengekstrak file arsip.

Berdasarkan profil adversary CrowdStrike, salah satu tool penting lain yang digunakan Slim Spider adalah MikeDor, sebuah backdoor berbasis Go yang mampu mengambil informasi sensitif dan memantau aktivitas pengguna.

Ancaman terhadap Aset Keuangan Digital

“Pengetahuan Slim Spider mengenai attack surface cloud memungkinkan mereka menargetkan kredensial yang terkait dengan aset mata uang digital berharga milik organisasi, termasuk kredensial custody yang mengendalikan dompet cryptocurrency,” kata CrowdStrike.

“Akses terhadap aset tersebut dapat menyebabkan kerugian finansial yang sangat besar bagi korban.”

“Pelaku ancaman e-crime menunjukkan pemahaman cloud yang semakin canggih dengan sengaja menargetkan infrastruktur dan kredensial yang berada paling dekat dengan aset keuangan bernilai tinggi.”

Breeze Comet Juga Menargetkan Sistem Keuangan Brasil

Pengungkapan mengenai Slim Spider bertepatan dengan munculnya kelompok cybercrime lain yang disebut Breeze Comet, yang juga dikenal sebagai CL-CRI-1163, Plump Spider, dan SHADOW-AETHER-064.

Kelompok tersebut melakukan infiltrasi terhadap sistem keuangan Brasil untuk menyalahgunakan infrastruktur pembayaran dan melakukan transaksi ilegal demi keuntungan finansial.

Google Threat Intelligence Group (GTIG) dan Mandiant mengatakan kelompok peretas berbahasa Portugis tersebut membobol sistem yang digunakan organisasi keuangan Brasil untuk melakukan transaksi, kemudian menginisiasi pembayaran untuk kepentingan mereka sendiri.

Serangan paling awal yang diketahui berasal dari kelompok tersebut tercatat sejak 2024.

Menyalahgunakan Situs Pemerintah

Pelaku ancaman tersebut juga diketahui menggunakan situs web pemerintah Brasil yang memiliki keamanan kurang memadai untuk menjadi tempat menyimpan malware.

Mereka juga memanfaatkan reputasi situs tersebut dalam serangan social engineering lanjutan terhadap target.

Yang lebih mengkhawatirkan, Breeze Comet telah mencoba menerapkan pola yang sama di wilayah lain dengan meretas situs pemerintah daerah di negara seperti Nigeria, Paraguay, Ghana, dan Venezuela.

Menargetkan Infrastruktur Pembayaran

Tujuan akhirnya adalah mendapatkan akses ke aplikasi keuangan yang digunakan organisasi yang telah dibobol untuk melakukan pembayaran, termasuk Pix, Boleto, dan Reserves Transfer System (STR), kemudian menjalankan ratusan transaksi penipuan.

Pix Menjadi Target Menguntungkan

Penargetan Pix oleh dua pelaku ancaman berbeda menunjukkan bagaimana metode pembayaran yang paling banyak digunakan di Brasil tersebut telah menjadi target yang menguntungkan di berbagai sistem operasi.

“Sementara ekosistem cybercrime Amerika Latin secara historis didominasi oleh fraud retail client-side dalam volume tinggi, kampanye Breeze Comet menunjukkan perubahan penting yang dapat menjadi model bagi ancaman bermotif finansial di masa mendatang terhadap organisasi di wilayah ini.”

“Peralihan dari penipuan perbankan retail oportunistik menuju intrusi langsung terhadap core financial switch dan infrastruktur pembayaran instan menjadi hal yang penting, bukan hanya karena perubahan target, tetapi juga karena kemampuan yang dimiliki pelaku ancaman tersebut.”