Finansal motivasyonla hareket eden ve daha önce kayıtlara geçmemiş bir siber saldırgan grubu, en az Mart 2026'dan bu yana Brezilyalı finans kuruluşlarını hedef alan saldırıların arkasında çıktı.
Siber güvenlik devi CrowdStrike, Brezilya merkezli bu saldırgan grubunu Slim Spider kod adıyla takip ediyor.
CrowdStrike'tan yapılan açıklamada, "Saldırganlar; anlık ödeme sistemi Pix, dijital varlık platformları ve finans kuruluşlarının bulut ortamları da dahil olmak üzere Brezilya finans altyapısına dair derin bir operasyonel bilgiye sahip" ifadeleri kullanıldı.
Güvenlik uzmanları, Slim Spider'ın Mart 2026'nın sonlarında Brezilyalı bir finans kuruluşuna karşı çok aşamalı bir siber saldırı düzenlediğini tespit etti. Saldırganların hedefinde, kurumun kripto para varlıkları ve anlık ödeme hesapları yer alıyordu.
Saldırı sürecinde bu siber suç örgütü, soket bağlantıları üzerinden geçici bulut kimlik bilgilerini çalmak amacıyla bulut sunucu meta verilerini sorgulayan özel Bash betikleri geliştirdi.
Kurumun bulut ortamına sızdıktan sonra saldırganlar, bulut kimlik bilgileri yöneticisinde kayıtlı tüm gizli anahtarları ve şifreleri tek tek tespit etti. Sızdırma betiklerini klonlamak ve değiştirmek için de Linux'taki "sed" komutunu kullandılar. Geliştirilen bu yöntem, doğrudan dijital finansal varlıklara ait kimlik bilgilerine odaklanıyor.
CrowdStrike konuyla ilgili şu detayı paylaştı: "Dijital varlık saklama sırlarını sızdırdıktan sonra Slim Spider, çalınan özel anahtarla ilişkili Ethereum cüzdan adresini elde etmek için Foundry Ethereum geliştirici araç setinin bir bileşeni olan cast aracını çalıştırdı."
"Saldırganlar, tespit edilme riskini artırabilecek üçüncü taraf kütüphaneler kullanmak yerine, Bash betikleri içinde doğrudan OpenSSL üzerinden bulut tabanlı kriptografik imzalama işlemini hayata geçirdi. Bu bilinçli tercih, saldırganların ne kadar gelişmiş bir operasyonel güvenlik farkındalığına ve bulut ortamlarına dair ne kadar derin bir bilgiye sahip olduğunu gözler önüne seriyor."
Tespit edilen bu saldırıda Slim Spider, bulut konteyner hizmeti kümesinde çalışan düğümlere erişim sağlamak için harekete geçti. Saldırganlar, güvenlik radarına takılmamak ve meşru sistem araçlarıyla karışmak amacıyla altyapı dosyalarını taklit eden arka kapılar devreye soktu.
