Um grupo eCrime brasileiro batizado de Slim Spider pela CrowdStrike executa desde pelo menos março de 2026 uma intrusão multi-stage contra ativos de criptomoeda e infraestrutura de pagamento instantâneo de instituições financeiras do país. O alvo não é o cliente final, e sim a camada de nuvem que sustenta a custódia de ativos digitais e as contas Pix: credenciais temporárias, segredos de custódia e pipelines de implantação. A ação prioritária para equipes de defesa é restringir o acesso ao serviço de metadados das instâncias, reduzir ao mínimo quem pode listar segredos no gerenciador de credenciais da nuvem e revisar as permissões das conexões de serviço do Azure DevOps.
A descoberta consta no CrowdStrike 2026 Threat Hunting Report, que reúne observações de caça a ameaças entre 1º de julho de 2025 e 30 de junho de 2026. O contexto ajuda a dimensionar o problema: a atividade eCrime orientada à nuvem cresceu 171% no período, o phishing por device code aumentou 15x em seis meses e o setor financeiro registrou alta de 11% em intrusões, com 57% delas originadas em adversários financeiramente motivados.
Como a intrusão acontece
Depois de obter um ponto de apoio no ambiente, o grupo executa scripts Bash customizados que consultam o serviço de metadados da instância para roubar credenciais temporárias de nuvem por conexões de soquete. Com essas credenciais em mãos, enumera todos os segredos disponíveis no gerenciador de credenciais da nuvem e usa o comando sed para clonar e modificar scripts legítimos de extração de segredos, preservando a aparência de uma operação normal aos olhos de quem monitora apenas o perímetro.
A seleção é cirúrgica: o interesse recai sobre credenciais ligadas a ativos financeiros digitais, com destaque para o material de custódia que controla carteiras. Como o relatório da CrowdStrike registra, defesas de perímetro tradicionais não se aplicam quando o adversário opera com credenciais e tokens válidos dentro do limite de confiança da nuvem — o que transforma logs de identidade e de acesso a segredos na principal fonte de detecção.
Da credencial à carteira
Após exfiltrar os segredos de custódia, o grupo invoca o cast, componente do kit de desenvolvedores Foundry Ethereum, para derivar o endereço da carteira Ethereum ligado à chave privada roubada — o passo que confirma qual ativo está ao alcance antes de qualquer movimentação suspeita em blockchain. Em vez de depender de bibliotecas de terceiros, que elevariam o risco de detecção, o grupo implementa assinatura criptográfica nativa de nuvem diretamente com OpenSSL dentro dos próprios scripts Bash, uma escolha que indica maturidade operacional.
A escalada continua em camadas de orquestração: o grupo acessa nós de um cluster de contêineres na nuvem, instala backdoors que imitam binários de infraestrutura para se misturar ao ferramental legítimo e pivota para o Azure DevOps, provavelmente com credenciais comprometidas, executando pipelines maliciosas que implantam cargas adicionais em um cluster Kubernetes gerenciado. Um dos implantes recebeu o nome de spi, numa tentativa deliberada de se passar pelo Sistema de Pagamentos Instantâneos, a infraestrutura central que processa os pagamentos Pix no Brasil.
Painéis que industrializam a fraude
A cadeia é sustentada por painéis web que automatizam etapas do golpe. O NEXUS // Scanner varre endpoints de API e usa o Ollama para classificá-los em 16 categorias — entre elas fintech, banco, pagamento e criptomoeda — e ranqueá-los por disponibilidade e opções de autenticação. O Painel de Emails Entra ID vasculha caixas comprometidas do Microsoft 365 separadas em financeiro, administração e Brasil. O Painel Pix executa transferências Pix não autorizadas em lote a partir de contas comprometidas. Um servidor de comando e controle exposto exibia hosts comprometidos de vários bancos e fintechs brasileiros e provavelmente recebia arquivos exfiltrados.
O arsenal inclui ainda o MikeDor, backdoor escrito em Go capaz de coletar informações sensíveis e monitorar atividades do usuário. O padrão ecoa o movimento do ARTEX contra bancos sul-coreanos: atores que conhecem a infraestrutura financeira local em detalhe e atacam o backend da instituição, não o bolso do correntista.
Sinais de comprometimento
Como a fraude trafega por fluxos legítimos de nuvem, a detecção depende de comportamento, não de assinaturas. A tabela abaixo resume os sinais observados nesta cadeia e a resposta esperada de cada um.
| Sinal | O que indica | Ação imediata |
|---|---|---|
| Processo incomum consultando o serviço de metadados da instância | Coleta de credenciais temporárias | Exigir IMDSv2 e alertar em tempo real |
| Listagem em massa no gerenciador de segredos seguida de leituras pontuais | Reconhecimento de material de custódia | Alertar sobre ListSecrets e GetSecretValue fora do padrão |
| Uso de sed para clonar scripts de extração | Adulteração de ferramenta legítima | Restringir execução de scripts fora dos pipelines aprovados |
| Pipeline criada ou editada no Azure DevOps fora de janela | Implantação de implantes em cluster gerenciado | Auditar histórico do DevOps e credenciais de serviço |
| Workload com nome imitando serviço financeiro | Masquerading de implante | Conferir inventário de nomes e exigir assinatura de imagens |
Defesas P1 e P2
P1 — conter nas próximas 48 horas: exigir IMDSv2 em todas as instâncias e monitorar a métrica MetadataNoToken até zerar as chamadas legadas, conforme o roteiro da documentação da AWS; reduzir permissões de leitura do gerenciador de segredos ao mínimo necessário por workload; revisar e girar as credenciais das service connections do Azure DevOps; girar todo material de custódia potencialmente exposto e verificar endereços de carteira derivados de chaves antigas.
P2 — reduzir superfície em 30 dias: separar a custódia com controle de múltiplas partes e módulo de segurança de hardware; aplicar política de nomes e assinaturas para workloads, impedindo implantes que imitem serviços financeiros; correlacionar logs de identidade, nuvem e pipeline no SIEM, seguindo a lógica de isolamento real na nuvem; e exercitar um tabletop de roubo de credenciais de custódia com critérios de decisão claros para acionamento do plano de resposta.