Slim Spider, 브라질 금융기관에서 암호화폐 수탁 기밀 탈취

이전에 알려지지 않은 금전적 동기의 위협 행위자가 최소 2026년 3월부터 브라질 금융기관을 겨냥한 공격과 연관된 것으로 확인됐다.

사이버보안 기업 CrowdStrike는 이 브라질 기반 활동 클러스터를 Slim Spider라는 이름으로 추적하고 있다.

"이 공격자는 즉시결제 서비스 Pix, 디지털 자산 플랫폼, 금융기관의 클라우드 환경 등 브라질 금융 인프라에 대한 깊은 운영 지식을 보유하고 있다"고 CrowdStrike는 밝혔다.

Slim Spider는 2026년 3월 말 브라질 소재 금융기관을 대상으로 다단계 침해 공격을 수행한 것이 관찰됐으며, 해당 기관의 암호화폐 자산과 즉시결제 계정을 노린 것으로 파악됐다.

공격 과정에서 이 e-크라임 그룹은 소켓 연결을 통해 클라우드 인스턴스 메타데이터를 조회해 임시 클라우드 자격증명을 탈취하는 커스텀 Bash 스크립트를 개발한 것으로 알려졌다.

조직의 클라우드 환경에 접근권을 확보한 후, 위협 행위자는 클라우드 자격증명 관리자에 저장된 모든 비밀을 열거하고 "sed" 명령어를 사용해 비밀 추출 스크립트를 복제 및 수정했다. 이 방식은 디지털 금융 자산과 연결된 자격증명에 특화돼 있다.

"디지털 자산 수탁 비밀을 탈취한 후, Slim Spider는 Foundry Ethereum 개발자 툴킷의 구성 요소인 cast를 실행해 탈취한 개인 키에 연결된 Ethereum 지갑 주소를 도출했다"고 CrowdStrike는 설명했다.

"탐지 위험을 초래할 수 있는 서드파티 라이브러리에 의존하는 대신, 위협 행위자는 Bash 스크립트 내에서 OpenSSL을 통해 클라우드 네이티브 암호화 서명을 직접 구현했다. 이러한 선택은 정교한 운영 보안 인식과 클라우드 환경에 대한 심층적인 이해를 반영한다."

관찰된 공격에서 Slim Spider는 클라우드 컨테이너 서비스 클러스터에서 실행 중인 노드에 대한 접근권을 확보하는 한편, 인프라 관련 바이너리로 위장한 백도어를 배포해 정상적인 도구에 섞여들어 탐지를 회피했다.

이후 위협 행위자는 Azure DevOps로 이동해, 탈취한 것으로 추정되는 자격증명을 사용해 관리형 Kubernetes 클러스터 전반에 추가 임플란트를 배포하는 악성 파이프라인을 실행했다. 임플란트 중 하나는 "spi"라는 이름이 붙었는데, 이는 브라질의 Pix 결제를 처리하는 핵심 디지털 인프라인 Sistema de Pagamentos Instantâneos(SPI)를 사칭하려는 시도다.

Slim Spider는 공격 체인의 다양한 단계를 자동화하고 간소화하기 위한 웹 기반 패널도 여러 개 활용한 것으로 확인됐다.

• NEXUS // Scanner: Ollama를 활용해 API 엔드포인트를 핀테크·뱅킹·결제·암호화폐 등 16개 카테고리로 분류하고 가용성 및 인증 옵션에 따라 순위를 매기는 API 엔드포인트 스캔 패널
• Painel de Emails Entra ID: 금융·관리·브라질 카테고리로 분류된 침해 Microsoft 365 사서함을 검색하는 이메일 정찰 패널
• Painel Pix: 침해 계정에서 대량 무단 Pix 이체를 실행하도록 설계된 거래 패널

CrowdStrike는 위협 행위자와 연결된 노출된 C2(명령·제어) 패널을 발견했으며, 이 패널에는 여러 브라질 은행 및 핀테크 조직의 피해 호스트 다수가 표시됐고, 아카이브 파일이 탈취된 것으로 추정된다.

해당 사이버보안 벤더의 행위자 프로파일에 따르면, Slim Spider의 또 다른 핵심 도구는 MikeDor로, 민감한 정보를 수집하고 사용자 활동을 모니터링할 수 있는 Go 기반 백도어다.

"Slim Spider의 클라우드 공격 표면에 대한 지식은 이들이 암호화폐 지갑을 제어하는 수탁 자격증명을 포함한 조직의 귀중한 디지털 화폐 자산과 연결된 자격증명을 표적으로 삼을 수 있게 한다"고 밝혔다. "이러한 자산에 대한 접근은 피해자에게 심각한 금전적 손실을 초래할 수 있다."

"e-크라임 위협 행위자들은 점점 더 정교한 클라우드 인식을 보여주며, 고가치 금융 자산에 가장 근접한 인프라와 자격증명을 의도적으로 겨냥하고 있다."

이번 공개는 Breeze Comet(CL-CRI-1163, Plump Spider, SHADOW-AETHER-064라고도 불림)이라는 또 다른 사이버범죄 그룹의 등장과 시기를 같이한다. 이 그룹은 브라질 금융 시스템에 침투해 결제 인프라를 악용하고 금전적 이익을 위해 불법 거래를 수행하고 있다.

Google Threat Intelligence Group(GTIG)과 Mandiant는 포르투갈어를 사용하는 이 해킹 그룹이 브라질 금융기관이 거래에 사용하는 시스템에 침투해 직접 결제를 실행한다고 밝혔다. 가장 초기의 공격은 2024년으로 거슬러 올라간다.

또한 이 위협 행위자는 보안이 미흡한 브라질 정부 웹사이트를 악성코드 유포지로 활용하고, 그 신뢰도를 이용해 표적에 대한 후속 소셜 엔지니어링(사람의 심리를 이용한 속임수) 공격에도 활용한 것으로 포착됐다. 더 나아가 Breeze Comet은 나이지리아·파라과이·가나·베네수엘라 등 다른 국가의 지방자치단체 웹사이트를 해킹하며 이 방식을 다른 지역으로 복제하려 시도하고 있다.

최종 목표는 침해 조직이 Pix·Boleto·지급준비금이체시스템(STR, Reserves Transfer System) 등 결제에 사용하는 금융 애플리케이션에 접근해 수백 건의 부정 거래를 실행하는 것이다.

서로 다른 두 위협 행위자가 Pix를 표적으로 삼는다는 사실은 브라질에서 가장 널리 사용되는 결제 수단이 다양한 운영 체제에 걸쳐 수익성 높은 표적이 됐음을 보여준다.

"라틴 아메리카 사이버범죄 생태계는 역사적으로 클라이언트 측의 대량 소매 금융사기로 정의돼 왔으나, Breeze Comet의 캠페인은 이 지역의 금융 동기 위협에 대한 미래 모델이 될 수 있는 주목할 만한 전환을 보여준다."

"기회주의적 소매 은행 사기에서 핵심 금융 결제 스위치 및 즉시결제 인프라에 대한 직접 침투로의 전환은 표적의 변화뿐 아니라 위협 행위자의 역량 측면에서도 주목할 만하다."