Die von CrowdStrike dokumentierte Angriffskette zeigt einen Akteur, der sich in Cloud-Umgebungen auffällig sicher bewegt. Nach dem Diebstahl temporärer Zugangsdaten über abgefragte Instanz-Metadaten klonte und veränderte Slim Spider mit dem Kommando “sed” vorhandene Skripte zur Extraktion von Geheimnissen. Die Auswahl war dabei nicht zufällig, sondern richtete sich gezielt auf Anmeldedaten, die mit digitalen Vermögenswerten verknüpft sind.
Nach der Exfiltration von Custody-Secrets für digitale Assets setzte die Gruppe laut CrowdStrike das Werkzeug “cast” aus dem Ethereum-Entwicklerwerkzeugkasten Foundry ein, um aus einem gestohlenen privaten Schlüssel die zugehörige Ethereum-Wallet-Adresse abzuleiten. Statt Bibliotheken Dritter zu verwenden, die das Entdeckungsrisiko erhöht hätten, implementierten die Angreifer kryptografisches Signieren direkt über OpenSSL in ihren Bash-Skripten. Diese bewusste Entscheidung spiegle ein ausgeprägtes Bewusstsein für operative Sicherheit und ein differenziertes Verständnis von Cloud-Umgebungen wider, so CrowdStrike.
Im beobachteten Fall verschaffte sich Slim Spider anschließend Zugang zu Knoten in einem Cluster eines Cloud-Container-Dienstes und platzierte Hintertüren, die infrastrukturbezogene Binärdateien nachahmten, um zwischen legitimen Werkzeugen nicht aufzufallen. Danach wechselte die Gruppe – vermutlich mit kompromittierten Zugangsdaten – zu Azure DevOps und ließ dort bösartige Pipelines laufen, die weitere Implantate über einen verwalteten Kubernetes-Cluster ausrollten. Eines davon trug den Namen “spi” und imitierte damit das Sistema de Pagamentos Instantâneos, die zentrale digitale Infrastruktur zur Verarbeitung von Pix-Zahlungen.
Zur Steuerung der Angriffe nutzt die Gruppe mehrere webbasierte Oberflächen. CrowdStrike entdeckte ein offen zugängliches Command-and-Control-Panel des Akteurs, das mehrere kompromittierte Hosts brasilianischer Banken und Fintech-Unternehmen anzeigte und wahrscheinlich Archivdateien exfiltrierte. Zum Werkzeugkasten zählt zudem MikeDor, eine in Go geschriebene Hintertür, die sensible Informationen abgreifen und Nutzeraktivitäten überwachen kann.
“Der Zugriff auf solche Vermögenswerte kann für Opfer verheerende finanzielle Verluste bedeuten”, schreibt CrowdStrike. E-Crime-Akteure zeigten zunehmend ausgefeiltes Cloud-Wissen und nähmen gezielt jene Infrastruktur und Zugangsdaten ins Visier, die den wertvollsten Finanzwerten am nächsten liegen.
Zeitgleich beschreiben Google Threat Intelligence Group und Mandiant die Gruppe Breeze Comet, auch bekannt als CL-CRI-1163, Plump Spider und SHADOW-AETHER-064. Die portugiesischsprachige Gruppe dringt in Systeme ein, mit denen brasilianische Finanzunternehmen Transaktionen abwickeln, und löst dort selbst Zahlungen aus. Die frühesten Angriffe reichen bis 2024 zurück. Für die Verbreitung ihrer Schadsoftware nutzte Breeze Comet unzureichend gesicherte brasilianische Behördenwebsites und verwertete deren Ruf anschließend für Social-Engineering-Angriffe. Dasselbe Muster versuchte die Gruppe in weiteren Ländern zu wiederholen und hackte kommunale Websites unter anderem in Nigeria, Paraguay, Ghana und Venezuela.
Ziel ist der Zugriff auf die Zahlungsanwendungen der kompromittierten Organisationen – darunter Pix, Boleto und das Reserves Transfer System (STR) – um hunderte betrügerische Transaktionen auszuführen. Während das lateinamerikanische Cybercrime-Ökosystem bislang von clientseitigem Massenbetrug im Privatkundengeschäft geprägt war, markiere Breeze Comet einen bemerkenswerten Wandel hin zu direkten Eingriffen in die zentrale Finanzvermittlung und die Sofortzahlungsinfrastruktur, der künftigen Angreifern in der Region als Vorbild dienen könnte.