Osegi
Безопасность·1 мин чтения

CERT-In предупредил о кампании Crafty Falcon против фintech-компаний Индии

Индийский CERT-In сообщил об эскалации хакерской кампании Crafty Falcon с использованием ИИ-инструментов: под ударом НБФО, платёжные агрегаторы и криптобиржи.

Digital padlock over a network of financial transaction data, symbolizing a cyber attack on fintech firms
Фото: The Indian Express
SUMODialoediviewergiftdetect

Индийская группа реагирования на компьютерные инциденты CERT-In предупредила об усилении хакерской кампании с применением инструментов искусственного интеллекта. В новом бюллетене от среды, 4 ноября, ведомство заявило, что «угроза активна и сохраняется». Под удар попали финтех-компании: небанковские финансовые организации (NBFC), платформы цифрового кредитования, платёжные агрегаторы и криптовалютные биржи.

Актора назвали Crafty Falcon — это обозначение присвоила команда CSIRT-Fin, отвечающая за финансовый сектор. По её анализу инцидентов, о которых сообщили пострадавшие организации, злоумышленники использовали ИИ для разведки целей, а затем атаковали через собственные платёжные API и API выплат жертв — на машинной скорости.

Инструменты и приёмы

CERT-In называет общедоступные ИИ-средства: ARTEX (платформа для пентестов и управления C2), PentAGI (автономная мультиагентная система), поисковик атак Cairn и фреймворк CyberStrikeAI. По данным агентства, они самостоятельно проходят всю цепочку атаки и адаптируют нагрузку к ответам цели. IP-адреса инфраструктуры меняются за часы или дни.

Хакеры атаковали облачную инфраструктуру AWS и Lambda. Точкой входа служили непродуктивные среды, например тестовые, откуда через общие учётные данные, токены или сетевые маршруты они переходили в боевые системы. Код приложений подвергали реверс-инжинирингу, а неавторизованные вызовы API выполняли через изменённые пакеты приложений. Запросы пускали через доверенные сервисы, включая CDN. Перед крупными платежами проводились тестовые транзакции на 1 рупию; для вывода средств злоупотребляли API расчётов с мерчантами, а криптобиржи атаковали с помощью украденных ключей кошельков.

Повторные атаки

Бюллетень развивает предупреждение от 9 октября. После него компании закрыли уязвимости, но, как отмечает CERT-In, из-за неполного устранения их «намеренно атаковали повторно». Кампания, судя по всему, приурочена к праздничному периоду, когда мониторинг слабее. Злоумышленники быстро использовали и свежие уязвимости в Node.js и PHP.

Ведомство призвало все организации сектора BFSI считать кампанию непосредственной и продолжающейся угрозой. Сигнатуры инфраструктуры и правила обнаружения переданы компаниям в закрытых рассылках.

Приложения, на которые стоит взглянуть

SUMO: числовая головоломка

Выбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.

Теги:cert-incrafty falconfintechai hackingindiacybersecurity

Ещё за этот день

Показать все →

Ещё в рубрике: Безопасность

Показать все →