新脅威グループSlim Spiderがブラジルの金融機関を標的 — Pix決済と暗号資産の保管秘密を窃取、CrowdStrikeが報告

CrowdStrikeは、ブラジルの金融機関を標的とする金銭目的の活動クラスターをSlim Spiderとして追跡していることを明らかにした。同社によると、攻撃者は2026年3月以降、ブラジル独自の即時決済サービスPix（ブラジル中央銀行が提供する即時決済インフラ、裏側の決済網はSPI：Sistema de Pagamentos Instantâneosと呼ばれる）やデジタル資産プラットフォーム、金融機関のクラウド環境に深い知見を持ち、暗号資産の保管（カストディ）に紐づく秘密の窃取を狙う。

クラウドネイティブな侵入 — 認証情報とカストディ秘密を狙う

観測された侵入事例では、Slim Spiderは2026年3月下旬にブラジルのある金融機関へ多段階で侵入し、同機関の暗号資産と即時決済アカウントを標的とした。CrowdStrikeによると、攻撃者はクラウドのインスタンスメタデータにソケット経由で問い合わせる独自のBashスクリプトで一時的なクラウド認証情報を窃取した。

クラウド環境へのアクセスを得た後、攻撃者はクラウドの秘密管理（credential manager）に保存された全ての秘密を列挙し、sedコマンドで秘密抽出スクリプトを複製・改変して、デジタル金融資産に関連する認証情報の抽出に特化させた。窃取後は、Foundry（イーサリアム開発ツールキット）のコンポーネントであるcastを用いて盗んだ秘密鍵からイーサリアムのウォレットアドレスを導出した。検知を避けるため、サードパーティのライブラリではなくOpenSSLをBashスクリプト内で直接用いたクラウドネイティブな暗号署名を実装していた点が、運用上の安全性への強い意識とクラウド環境への精通を示しているとCrowdStrikeは説明している。

KubernetesとDevOpsの悪用、正規を装う持続化

攻撃者はクラウドのコンテナサービス上で動作するノードへのアクセスを確立し、正規のインフラ関連バイナリに偽装したバックドアを配置して正規ツールに紛れさせた。さらに、窃取した認証情報を用いてAzure DevOpsへ移り、不正なパイプラインを実行して管理されたKubernetesクラスター全体に植え込みを展開した。植え込みのひとつは**「spi」という名称でSPI（Pixを処理する中核インフラ）を偽装**していた。

攻撃を自動化・効率化するため、Slim Spiderは複数のウェブベースパネルを運用していた。CrowdStrikeが発見した露出したC2パネルには、ブラジル所在の複数の銀行やフィンテック組織に属する多数の侵害ホストや、持ち出されたとみられるアーカイブファイルが表示されていた。

同グループの主要な道具はMikeDorと呼ばれるGo製のバックドアだ。CrowdStrikeはMikeDorが機微情報の窃取やユーザー活動の監視が可能で、クロスコンパイルされたカスタム実装であることを明らかにしている。

背景と日本組織への示唆

CrowdStrikeは、Slim Spiderがクラウドの攻撃面を的確に把握し、価値の高いデジタル通貨資産に最も近いインフラと認証情報を狙っていると評価している。クラウドの秘密管理やコンテナ基盤、CI/CDパイプラインに保管されるカストディ秘密へのアクセスは、被害組織に甚大な金銭損失をもたらしうる。

日本企業でもクラウドの秘密管理やコンテナ基盤、DevOpsパイプラインに機微な認証情報を集約する構成は一般的だ。CrowdStrikeは、クラウド認証情報やデジタル資産の保管秘密を狙うSlim Spiderの手口を踏まえ、クラウドの認証情報の管理と監視の強化が重要であることを示唆している。ブラジル固有のPixを狙う文脈ではあるが、クラウドネイティブな認証情報窃取とDevOps悪用の手口自体は業種・地域を問わず参考になる。

出典

• Slim Spider Adversary Profile | CrowdStrike