Slim Spider vole les secrets crypto des banques brésiliennes

Slim Spider : CrowdStrike démasque un groupe cybercriminel spécialisé dans la finance brésilienne

Le 8 septembre 2026, CrowdStrike a publié une analyse détaillée d'un groupe cybercriminel jusqu'alors inconnu, désigné Slim Spider dans sa taxonomie d'adversaires. Actif depuis au moins mars 2026, ce groupe est exclusivement tourné vers les institutions financières brésiliennes, avec pour objectifs centraux la compromission des actifs cryptographiques et des comptes de paiement instantané de ses cibles. La publication intervient dans la foulée de l'investigation d'une intrusion multi-étapes orchestrée en mars 2026 contre un établissement financier basé au Brésil.

Slim Spider présente un niveau de sophistication opérationnelle élevé et une connaissance approfondie de l'infrastructure financière brésilienne. Le groupe maîtrise les spécificités de Pix, le système de paiement instantané géré par la Banco Central do Brasil, dont l'adoption massive depuis 2020 en a fait la colonne vertébrale des transactions financières du pays avec plus de 4 milliards de transactions mensuelles. Cette connaissance ciblée du contexte local distingue Slim Spider des groupes généralistes et suggère soit une origine brésilienne, soit une spécialisation délibérée sur ce marché acquise au prix d'une longue phase de reconnaissance.

Sur le plan technique, Slim Spider déploie MikeDor comme implant principal post-compromission. Il s'agit d'une backdoor écrite en Go, capable de récolter des informations système et réseau, de monitorer les activités utilisateur, d'exfiltrer des fichiers et d'assurer une persistance discrète sur les hôtes compromis. Le choix du langage Go est délibéré et cohérent avec une tendance observée chez d'autres groupes cybercriminels depuis 2023 : les binaires Go sont compilés statiquement (limitant les dépendances), multi-plateformes, et plus difficiles à analyser statiquement que les malwares C ou C++ classiques, ce qui complique la détection par les outils de sécurité traditionnels.

Le vecteur cloud est l'un des aspects les plus notables de l'arsenal de Slim Spider. Le groupe a développé des scripts Bash personnalisés qui interrogent les endpoints IMDS (Instance Metadata Service) d'AWS — accessibles à l'adresse 169.254.169.254 depuis les instances EC2 — afin de dérober des credentials IAM temporaires via des connexions socket directes. Cette technique exploite le mécanisme de rotation automatique des tokens IAM temporaires d'AWS, et fonctionne particulièrement bien contre les instances configurées avec IMDSv1, qui ne requiert pas de token pré-authentifié. Dans le secteur financier brésilien, largement migré vers AWS et Azure depuis 2022, ce vecteur cloud représente un risque considérable et peu défendu.

La découverte d'un panel de commande et contrôle (C2) exposé accidentellement a fourni à CrowdStrike une fenêtre rare sur l'ampleur réelle des opérations de Slim Spider. Ce panneau, connecté à l'infrastructure C2 du groupe, affichait plusieurs hôtes compromis appartenant à plusieurs banques et fintechs brésiliennes, ainsi que des références à des archives probablement exfiltrées. Cette visibilité accidentelle suggère que Slim Spider opère simultanément contre plusieurs cibles dans le secteur financier brésilien, bien au-delà du seul incident initialement investigué.

Le ciblage des actifs cryptographiques est un élément central de la stratégie de Slim Spider. En 2026, le Brésil est l'un des marchés de cryptoactifs les plus dynamiques d'Amérique latine, avec plusieurs exchanges locaux majeurs et une adoption institutionnelle croissante. Les plateformes de custody institutionnelle — qui gèrent les clés privées de portefeuilles cryptographiques pour le compte d'institutions financières — représentent des cibles à haute valeur avec un potentiel de vol directement convertible en liquidités. CrowdStrike rapporte que Slim Spider cible spécifiquement les secrets de custody crypto, c'est-à-dire les clés de signature et les credentials d'accès aux HSM gérant les portefeuilles institutionnels.

La chaîne d'attaque initiale n'a pas été entièrement reconstituée dans le rapport de CrowdStrike, mais les éléments disponibles suggèrent une combinaison de spear-phishing ciblé et d'exploitation de vulnérabilités dans des applications web financières comme vecteurs d'entrée. Une fois l'accès obtenu, le groupe procède méthodiquement : reconnaissance interne, déploiement de MikeDor pour la persistance, vol de credentials cloud via les scripts IMDS, puis ciblage des systèmes de custody crypto et des interfaces Pix internes.

Les indicateurs de compromission (IoCs) publiés par CrowdStrike incluent des hachages SHA-256 des binaires MikeDor identifiés, des adresses IP et domaines associés à l'infrastructure C2 de Slim Spider, et des patterns comportementaux caractéristiques des scripts IMDS. Les organisations du secteur financier brésilien, mais aussi les filiales brésiliennes de groupes financiers internationaux, sont invitées à vérifier ces IoCs dans leurs logs EDR et SIEM pour les six derniers mois au minimum.

Slim Spider s'inscrit dans la montée en puissance de la cybercriminalité financière en Amérique latine

Slim Spider représente la dernière manifestation documentée d'une montée en puissance de la cybercriminalité financière en Amérique latine, et au Brésil en particulier. Des groupes comme Prilex (spécialisé dans les attaques sur terminaux de paiement), Guildma ou les opérateurs du trojan bancaire Grandoreiro ont démontré que la région produit des acteurs cybercriminels sophistiqués avec une connaissance intime de l'infrastructure financière locale. Slim Spider s'inscrit dans cette lignée en y ajoutant une dimension cloud et crypto qui reflète l'évolution de la surface d'attaque financière en 2026.

La spécialisation géographique et sectorielle de Slim Spider est elle-même un signal préoccupant. Les groupes généralistes qui testent un large spectre de cibles sont, paradoxalement, moins dangereux pour un secteur donné qu'un acteur ayant investi dans une connaissance approfondie de l'écosystème cible. Connaître les spécificités de Pix, les architectures cloud typiques des banques brésiliennes, les solutions de custody crypto déployées par les fintechs locales représente une barrière à l'entrée que Slim Spider a visiblement franchie — signe soit d'une longue phase de reconnaissance, soit d'une expertise interne issue du secteur financier brésilien lui-même.

Pour les institutions financières opérant au Brésil ou avec des partenaires brésiliens, la publication de ce rapport est un signal d'alarme clair. Les mesures recommandées incluent l'audit des configurations IMDS sur toutes les instances EC2 AWS — désactivation de la version 1 du service de métadonnées ou restriction des accès via les rôles IAM —, la revue des droits d'accès aux solutions de custody crypto et aux interfaces Pix, et une recherche proactive des IoCs publiés par CrowdStrike dans les logs des six derniers mois. Les environnements AWS sans IMDSv2 forcé dans des contextes financiers sont exposés à un risque particulièrement direct.

Sur le plan réglementaire, une compromission par Slim Spider entraînerait des obligations de notification auprès du Banco Central do Brasil et, pour les entités opérant en Europe, auprès des autorités NIS2. La nature des données ciblées — données financières clients, credentials de paiement Pix, clés de custody crypto — placerait également ces incidents sous le régime de notification RGPD dans un délai de 72 heures, avec un risque d'amende substantiel en cas de manquement à la diligence de sécurité. DORA, applicable au secteur financier européen depuis janvier 2025, renforce encore ces exigences pour les entités concernées opérant sur des marchés d'Amérique latine.

Ce qu'il faut retenir

• Slim Spider est un nouveau groupe cybercriminel brésilien ciblant les institutions financières via MikeDor (backdoor Go), des scripts de vol de credentials AWS via IMDS, et une connaissance approfondie de Pix et des plateformes crypto locales.
• Un panel C2 exposé a confirmé des compromissions actives dans plusieurs banques et fintechs brésiliennes — les IoCs de CrowdStrike doivent être recherchés dans les logs EDR/SIEM des six derniers mois.
• Forcer IMDSv2 sur toutes les instances AWS, auditer les accès aux solutions de custody crypto et les droits Pix internes sont les premières mesures à appliquer face au mode opératoire de Slim Spider.