CERT-In warnt vor KI-Kampagne „Crafty Falcon“ gegen indische Fintechs

Erneute Angriffe nach unvollständigen Korrekturen

Die Mitteilung knüpft an eine Warnung vom 9. Oktober an. Damals hatte CERT-In beschrieben, wie Angreifer Schwachstellen in öffentlich erreichbaren Anwendungen, offene APIs und gestohlene Zugangsdaten ausnutzten, um betrügerische Transaktionen auf Mule-Konten bei mehreren Banken zu lenken. Die Unternehmen schlossen die Lücken, wurden laut CERT-In aber „gezielt erneut angegriffen“, weil die Behebung unvollständig war. Offenbar wählten die Täter die Festtagszeit, in der weniger überwacht wird und Erkennung und Reaktion langsamer ausfallen.

Als genutzte, öffentlich verfügbare Werkzeuge nennt die Behörde ARTEX (Open-Source-Plattform für Penetrationstests und Command-and-Control mit mehreren KI-Agenten), PentAGI (autonomes Multi-Agenten-Testsystem), Cairn (Suchmaschine für Angriffe) sowie das Framework CyberStrikeAI. Sie führten komplette Angriffsketten autonom aus und passten Payloads an die Reaktionen der Ziele an. Die Angriffsinfrastruktur wechselt binnen Stunden bis Tagen die IP-Adressen.

Vorgehen der Angreifer

Im Visier standen AWS- und Lambda-Infrastrukturen. Einfallstore waren Nicht-Produktivumgebungen wie Testseiten; von dort gelangten die Täter über gemeinsame Zugangsdaten, Tokens oder Netzwerkpfade in Live-Systeme. Sie zerlegten Anwendungscode per Reverse Engineering und nutzten modifizierte App-Pakete für unautorisierte API-Aufrufe, womit Kontrollen umgangen wurden, die nur der echten App vertrauen. Anfragen liefen über vertrauenswürdige Dienste wie Content-Delivery-Netzwerke.

Vor größeren Beträgen testeten die Täter mit Transaktionen über 1 Rupie und missbrauchten Händlerabrechnungs-APIs von Payment-Aggregatoren. Krypto-Börsen wurden mit gestohlenen Wallet-Schlüsseln angegriffen. Zudem nutzten die Akteure frisch bekannt gewordene Lücken in Node.js und PHP rasch aus.

CERT-In fordert alle BFSI-Unternehmen auf, die Kampagne als unmittelbare und fortdauernde Bedrohung zu behandeln. Erkennungsregeln und Infrastruktur-Fingerabdrücke wurden über eingeschränkte Mitteilungen verteilt.