Osegi
Sécurité·2 min de lecture

CERT-In alerte sur « Crafty Falcon », campagne d'attaques par IA

L'agence indienne CERT-In signale une campagne de piratage pilotée par l'IA, « Crafty Falcon », qui s'intensifie contre les sociétés financières, agrégateurs de paiement et plateformes crypto.

Digital padlock over a network of financial transaction data, symbolizing a cyber attack on fintech firms
Image: The Indian Express
SUMO Dialo ediviewer giftdetect

L'équipe indienne de réponse aux urgences informatiques (CERT-In) alerte sur l'intensification d'une campagne de piratage pilotée par l'intelligence artificielle contre le secteur des fintechs. Dans un avis publié mercredi 4 novembre, l'agence affirme que « la menace est active et se poursuit ». Sont notamment touchés les établissements financiers non bancaires (NBFC), les plateformes de prêt numérique, les agrégateurs de paiement et les plateformes d'échange de cryptomonnaies.

L'acteur à l'origine de la campagne a été baptisé « Crafty Falcon » par CSIRT-Fin, l'équipe de CERT-In dédiée à la finance. D'après l'analyse des incidents déclarés par les entités touchées, le groupe a utilisé des outils d'IA pour repérer ses cibles, puis les a attaquées en invoquant les propres API de paiement et de décaissement des victimes, à la vitesse de la machine.

Des cibles visées de nouveau après des correctifs incomplets

L'avis prolonge une alerte du 9 octobre, qui décrivait l'exploitation de failles d'applications exposées sur Internet, d'API ouvertes et d'identifiants volés pour envoyer des transactions frauduleuses vers des comptes de mules dans plusieurs banques. Les entreprises ont corrigé les failles, mais elles ont été « délibérément ciblées de nouveau » en raison de corrections incomplètes, selon CERT-In. Les attaquants semblent aussi avoir choisi la période des fêtes, où la surveillance est réduite et la détection plus lente.

L'agence cite plusieurs outils offensifs accessibles publiquement : ARTEX, plateforme open source multi-agents de test d'intrusion et de commande et contrôle ; PentAGI, système autonome de test d'intrusion ; Cairn, moteur de recherche d'attaques ; et le cadre CyberStrikeAI. Ils exécutent des chaînes d'attaque complètes de façon autonome et adaptent leurs charges aux réponses des cibles. L'infrastructure change d'adresses IP en quelques heures ou jours.

Le mode opératoire

Les pirates ont visé les infrastructures AWS et Lambda, en entrant par des environnements hors production, comme des sites de test, puis en gagnant les systèmes réels grâce à des identifiants, jetons ou chemins réseau partagés. Ils ont rétroconçu le code d'applications et utilisé des paquets modifiés pour émettre des appels d'API non autorisés, contournant des contrôles qui ne faisaient confiance qu'à l'application légitime. Leurs requêtes transitaient par des services tiers de confiance, tels que des réseaux de diffusion de contenu.

Avant les transactions de montant élevé, ils effectuaient des essais d'une roupie et détournaient les API de règlement marchand des agrégateurs de paiement. Les plateformes crypto ont été visées avec des clés de portefeuille volées. Les attaquants ont aussi exploité rapidement des failles récentes de Node.js et de PHP.

CERT-In demande à toutes les entités du secteur BFSI de traiter la campagne comme une menace immédiate et continue. Des règles de détection et des empreintes d'infrastructure ont été transmises par des avis à diffusion restreinte.

Des apps à découvrir

SUMO : le puzzle de nombres

Touche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.

Mots-clés:cert-incrafty falconfintechai hackingindiacybersecurity

Plus d'actus de ce jour

Tout voir →

Plus dans: Sécurité

Tout voir →