根據資安公司 CrowdStrike 的研究報告，一個名為 Slim Spider 的新型金融犯罪組織，正針對巴西的金融機構發動高度精準的攻擊。該組織展現出對雲端環境與巴西金融基礎設施的深刻理解，其目標不再僅是傳統的零售銀行詐騙，而是直接滲透核心的數位資產託管系統與即時支付網路。
背景與攻擊目標
Slim Spider 的活動至少自 2026 年 3 月起被觀察到。該組織的攻擊目標高度集中在巴西的金融實體，特別是那些經營加密貨幣託管服務以及使用 Pix（巴西國家級即時支付系統）的機構。Pix 是巴西極其普及的支付方式，由於其交易速度快且體量巨大，已成為網路犯罪者的首選目標。
不同於以往依賴大量發送釣魚信件的低階詐騙，Slim Spider 採取的是多階段的滲透策略，旨在奪取能控制數位資產的權限，例如加密貨幣錢包的私鑰或雲端管理權限。
核心攻擊手法與技術路徑
Slim Spider 的攻擊過程展現了強大的雲端原生攻擊能力。首先，他們開發了自定義的 Bash 腳本（一種在 Linux 系統中執行指令的自動化工具），利用雲端實例的元數據服務（Instance Metadata Service）透過 Socket 連線竊取臨時雲端憑證。一旦進入雲端環境，攻擊者會迅速掃描雲端憑證管理器（Cloud Credential Manager）中儲存的所有機密資訊，並利用 sed 指令（一種流編輯器，可用於過濾與轉換文字）來修改並複製提取金鑰的腳本。
在獲取數位資產託管金鑰後，Slim Spider 使用了 Foundry Ethereum 開發工具包中的 cast 組件，將竊得的私鑰轉換為對應的以太坊錢包地址，以便確認資產規模並準備轉移。值得注意的是，為了規避資安軟體的偵測，他們刻意不使用第三方庫，而是直接在 Bash 腳本中透過 OpenSSL 實現雲端原生的加密簽名，這顯示出該組織具有極高的運作安全意識。
為了維持長期潛伏，Slim Spider 採取了深層的橫向移動策略。他們首先進入雲端容器服務集群，部署偽裝成基礎設施二進位檔案的後門程式，使其在系統監控中看起來像正常的工具。隨後，他們利用盜取的憑證進入 Azure DevOps（微軟的開發運維平台），透過惡意流水線（Pipelines）在受管理的 Kubernetes 集群中部署更多植入物。其中一個植入物被命名為 spi，意在冒充巴西即時支付系統（Sistema de Pagamentos Instantâneos, SPI）的官方組件，從而掩蓋其非法操作。
自動化工具鏈與生態系統
為了提升攻擊效率，Slim Spider 構建了一套完整的自動化面板，將複雜的攻擊鏈模組化：
第一是 NEXUS // Scanner，這是一個 API 端點掃描面板，利用 Ollama（一個本地運行的大語言模型框架）將掃描到的端點自動分類為金融科技、銀行、支付或加密貨幣等 16 個類別，並根據可用性與認證強度進行排序。
第二是 Painel de Emails Entra ID，專門用於對 Microsoft 365 郵件信箱進行偵察，將受害者的身份分為財務、管理與巴西區域類別，以便精準鎖定高權限目標。
第三是 Painel Pix，這是一個專門設計用於執行大規模非法 Pix 轉帳的交易面板。此外，CrowdStrike 還發現了該組織使用的 MikeDor 後門，這是一款基於 Go 語言開發的工具，能監控使用者活動並持續收集敏感資訊。
影響與產業限制
Slim Spider 的出現標誌著拉丁美洲網路犯罪生態的重大轉型。過去該地區的金融犯罪多為針對個人用戶的零售端詐騙，但現在已演變為針對金融核心交換機與即時支付基礎設施的直接入侵。
與此同時，另一個名為 Breeze Comet 的組織也採取類似路徑，不僅攻擊巴西的 Pix、Boleto（一種常見的巴西票據支付方式）以及儲備金轉移系統（STR），甚至將此模式複製到尼日利亞、巴拉圭、加納與委內瑞拉等國的市政網站，利用政府網站的信任度進行社交工程攻擊。
這類攻擊對金融機構構成了毀滅性的威脅，因為一旦託管金鑰被竊，數位資產將無法追回。對於企業而言，單純的邊界防火牆已不足夠，必須強化雲端憑證管理、實施嚴格的最小權限原則，並針對 DevOps 流水線與容器環境建立深層的行為監控，才能有效對抗這類具備雲端原生意識的頂尖威脅組織。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。