Slim Spider é o nome dado pela CrowdStrike a um grupo de cibercrime financeiro que, desde pelo menos março de 2026, vem mirando instituições financeiras brasileiras com uma abordagem muito diferente do tradicional golpe bancário. Em vez de depender apenas de engenharia social contra clientes, o grupo demonstra conhecimento profundo de infraestrutura em nuvem, Pix, plataformas de ativos digitais e ambientes corporativos de TI.
O caso chama atenção pela combinação de técnicas aparentemente simples, como scripts Bash e ferramentas nativas do Linux, com operações sofisticadas envolvendo gerenciamento de segredos, custódia de criptomoedas, Azure DevOps, Kubernetes e automação baseada em inteligência artificial. A campanha mostra como criminosos estão deslocando o foco para os sistemas que ficam atrás das aplicações financeiras e concentram as credenciais capazes de movimentar dinheiro.
Mais do que um ataque contra uma organização específica, a atividade do grupo hacker Slim Spider revela uma mudança importante no cenário brasileiro. O objetivo passa a ser comprometer diretamente componentes da infraestrutura que sustentam operações financeiras, aproveitando identidades legítimas, pipelines de desenvolvimento e ambientes de nuvem para chegar aos ativos de maior valor.
Como o grupo Slim Spider operou na nuvem financeira
A operação observada pela CrowdStrike começou com a exploração do ambiente de nuvem de uma instituição financeira brasileira. Segundo as informações divulgadas, o grupo utilizou scripts personalizados em Bash para consultar o serviço de metadados da instância e obter credenciais temporárias.
Um detalhe particularmente relevante foi a utilização de conexões diretas por sockets, em vez de depender exclusivamente de ferramentas convencionais do sistema. Essa escolha reduz a dependência de utilitários facilmente identificáveis e demonstra preocupação com a redução da superfície de detecção durante a intrusão.
Depois de conquistar acesso ao ambiente, os criminosos passaram a enumerar os segredos armazenados no gerenciador de credenciais da nuvem. Esse estágio é crítico porque uma única identidade comprometida pode abrir caminho para chaves de API, certificados, credenciais de serviços e informações relacionadas à custódia de ativos digitais.
O uso de sed também merece atenção. O utilitário tradicional de manipulação de texto do Linux foi empregado para copiar e modificar rotinas utilizadas na extração de segredos. Em outras palavras, o invasor não precisava necessariamente introduzir uma ferramenta desconhecida no sistema: podia adaptar scripts existentes utilizando componentes já presentes no ambiente.
Essa estratégia é representativa de uma tendência importante em ataques modernos: usar ferramentas legítimas para realizar atividades ilegítimas. Para equipes de segurança, detectar simplesmente a presença de Bash, sed, OpenSSL ou outros utilitários nativos é pouco eficaz. O contexto de execução e o comportamento precisam ser analisados.
O alvo mais valioso eram as credenciais de criptomoedas
Após encontrar informações relacionadas aos ativos digitais da instituição, o Slim Spider utilizou o cast, componente do ecossistema Foundry Ethereum, para derivar o endereço de uma carteira Ethereum a partir de uma chave privada obtida durante a intrusão.
Esse detalhe mostra que o grupo não estava interessado apenas em dados corporativos. A intenção era chegar às credenciais que efetivamente controlam ativos financeiros digitais.
A diferença é fundamental. Uma conta corporativa comprometida pode causar vazamento de informações ou interrupção operacional. Já uma chave privada associada a uma carteira de criptomoedas pode representar acesso direto a recursos financeiros, dependendo do modelo de custódia utilizado pela instituição.
Outro elemento sofisticado foi a utilização do OpenSSL diretamente a partir de scripts Bash para realizar operações criptográficas. Em vez de depender de bibliotecas externas ou componentes adicionais que poderiam produzir sinais de detecção, o grupo aproveitou uma ferramenta criptográfica nativa e amplamente disponível em sistemas Linux.
Isso representa um problema importante para soluções EDR e XDR. A presença de um binário legítimo não significa que a operação seja legítima. O que precisa ser investigado é a combinação entre processo, identidade, contexto, destino da comunicação, horário e sequência de comandos.
Slim Spider transforma DevOps em vetor de ataque
A intrusão não terminou na infraestrutura de nuvem. Depois de alcançar componentes relacionados ao ambiente de contêineres, os criminosos avançaram para Azure DevOps e Kubernetes, transformando a própria cadeia de desenvolvimento e implantação em mecanismo de persistência.
De acordo com as informações divulgadas, credenciais comprometidas foram utilizadas para executar pipelines maliciosos no Azure DevOps, permitindo implantar implantes adicionais em um cluster Kubernetes gerenciado.
Essa técnica é especialmente perigosa porque um pipeline de CI/CD possui, por definição, permissões para construir, testar e publicar software. Se essas permissões forem excessivas, o comprometimento do pipeline pode se transformar em uma espécie de chave mestra para a infraestrutura de produção.
Para ambientes modernos de DevOps, isso reforça a necessidade de separar claramente:
código-fonte, credenciais de CI/CD, identidades de implantação, clusters Kubernetes e recursos financeiros críticos.
Uma conta utilizada para automatizar uma implantação não deveria possuir, por padrão, privilégios capazes de acessar segredos de custódia ou modificar componentes diretamente ligados a sistemas de pagamentos.
Implantes que imitavam componentes legítimos
O grupo também teria utilizado binários com nomes relacionados à infraestrutura para tentar se misturar ao funcionamento normal dos ambientes comprometidos. Um dos implantes recebeu o nome “spi”, referência ao Sistema de Pagamentos Instantâneos, infraestrutura central relacionada ao processamento do Pix.
A escolha do nome demonstra uma preocupação operacional adicional: camuflar componentes maliciosos dentro de ambientes complexos, nos quais dezenas ou centenas de serviços legítimos podem estar sendo executados simultaneamente.
Para o administrador Linux, esse comportamento reforça a importância de manter inventários de processos, imagens e workloads. Não basta saber que um processo chamado spi existe. É necessário saber qual imagem o originou, qual pipeline a publicou, quem a implantou, quais permissões possui e para onde estabelece conexões.
IA e painéis C2 ampliam a escala da operação
Outro aspecto que diferencia a campanha é a presença de painéis automatizados de comando e controle (C2).
Entre as ferramentas identificadas está o NEXUS // Scanner, descrito como um painel capaz de analisar endpoints e classificá-los em categorias relacionadas a bancos, fintechs, pagamentos e criptomoedas. O sistema utiliza Ollama para auxiliar na categorização e priorização dos alvos.
A utilização de um modelo de IA nesse contexto não significa necessariamente que a inteligência artificial esteja conduzindo autonomamente toda a invasão. O ponto mais importante é outro: ela pode funcionar como um mecanismo de triagem e automação, reduzindo o trabalho humano necessário para identificar quais sistemas merecem atenção.
Isso permite que uma operação criminosa processe grandes quantidades de endpoints e concentre seus operadores humanos nos alvos considerados mais promissores.
A mesma infraestrutura incluía painéis voltados à reconhecimento de contas Entra ID e operações relacionadas ao Pix. A CrowdStrike também identificou um painel C2 exposto que apresentava hosts comprometidos pertencentes a diferentes bancos e fintechs brasileiras.
Esse modelo representa a industrialização do cibercrime. O atacante deixa de executar manualmente cada etapa e passa a operar uma plataforma que enumera, classifica, prioriza e automatiza ações contra múltiplos alvos.
Slim Spider e a nova geração de ataques ao Pix
O caso ganha ainda mais importância quando observado ao lado de outra ameaça recentemente documentada: Breeze Comet, também associada pela CrowdStrike ao nome Plump Spider.
Enquanto o Slim Spider concentrou parte significativa de sua operação em nuvem, credenciais e custódia de ativos digitais, o Breeze Comet foi descrito pelo Google Threat Intelligence Group e pela Mandiant como um grupo que busca acesso a sistemas capazes de realizar transações em Pix, STR e Boleto.
A convergência entre essas campanhas aponta para uma transformação do crime financeiro digital brasileiro.
Durante anos, boa parte das fraudes latino-americanas esteve concentrada em clientes finais, malware bancário, roubo de credenciais e engenharia social. Agora, criminosos financeiramente motivados demonstram interesse crescente pelos sistemas corporativos que efetivamente processam transações.
Isso muda radicalmente o modelo de defesa.
Se o criminoso consegue comprometer uma identidade com privilégios suficientes dentro de uma instituição financeira, ele não precisa necessariamente convencer milhares de usuários a clicar em um link. Pode tentar controlar diretamente os mecanismos que autorizam ou processam as transações.
O que a invasão do Slim Spider ensina aos profissionais de TI e nuvem
A principal lição deixada pelo Slim Spider é que segurança de nuvem não pode ser tratada apenas como proteção de máquinas virtuais.
A superfície de ataque inclui identidades, metadados de instâncias, cofres de segredos, APIs, pipelines, repositórios, registros de contêineres, Kubernetes e sistemas de autenticação. Quando esses elementos estão conectados, o comprometimento de um componente pode criar uma cadeia de movimentação até ativos financeiros.
Para administradores e equipes de DevOps, algumas medidas são particularmente importantes.
Revisar o RBAC do Kubernetes deve estar entre as prioridades. Contas de serviço precisam receber somente as permissões necessárias, evitando que um comprometimento de workload resulte em privilégios administrativos no cluster.
Também é fundamental revisar o gerenciamento de segredos. Credenciais temporárias devem ter escopo reduzido, duração limitada e mecanismos de rotação. Segredos de custódia de criptomoedas devem permanecer isolados de credenciais utilizadas por aplicações comuns.
Outro ponto é a segurança dos pipelines de CI/CD. Azure DevOps, GitHub Actions, GitLab CI e plataformas semelhantes precisam ser considerados parte da superfície de produção. Uma alteração maliciosa em um pipeline pode ser tão perigosa quanto uma vulnerabilidade no próprio servidor.
Finalmente, equipes de segurança precisam monitorar o uso anômalo de Bash, sed, OpenSSL e outras ferramentas nativas. O objetivo não é bloquear esses componentes, mas identificar combinações incomuns de comportamento, como acesso inesperado a metadados, enumeração de segredos, alteração de scripts e comunicação com infraestrutura externa.
A atividade do grupo hacker Slim Spider mostra que o próximo estágio dos ataques financeiros brasileiros não está necessariamente no computador do cliente. Ele pode estar escondido dentro da nuvem, do pipeline de DevOps ou do cluster Kubernetes que sustenta a operação financeira.
Para instituições que trabalham com Pix e ativos digitais, essa realidade exige uma mudança de mentalidade: proteger a aplicação já não é suficiente. É necessário proteger toda a cadeia de identidade, desenvolvimento, implantação e execução que permite que uma transação financeira aconteça.