CERT-In предупредило об ИИ-атаках хакерской группы на криптобиржи Индии

CERT-In в среду присвоила злоумышленнику имя CRAFTY FALCON — это обновление к предупреждению, впервые выпущенному в октябре. В новой версии агентство прямо назвало криптобиржи среди пострадавших и описало, как хакеры применяют ИИ-инструменты для атак.

«Угроза активна и сохраняется. CSIRT-Fin по-прежнему получает сообщения об успешных атаках, в том числе от небанковских финансовых компаний и финтех-организаций, которые уже получали ранние ограниченные уведомления и устранили уязвимости», — заявили в CERT-In.

По данным агентства, группировка «изучает цели с помощью машинного интеллекта, действует со скоростью машины и наносит удар через платёжные и расчётные API самой жертвы». Атакам подверглись небанковские кредиторы, цифровые кредитные платформы, финтех-компании, платёжные агрегаторы и сервис-провайдеры, а также криптобиржи.

Злоумышленники эксплуатировали уязвимые приложения и открытые тестовые среды, использовали общие учётные данные и токены доступа, чтобы перейти в продакшн-системы, и атаковали облачную инфраструктуру, размещая там вредоносные файлы. ИИ-инструменты помогали быстро писать и дорабатывать скрипты атак, а часть ударов намеренно приходилась на выходные и праздники — чтобы затруднить обнаружение.

В некоторых случаях хакеры сначала проводили небольшие тестовые транзакции — проверяли, получится ли провести несанкционированный перевод, — и только потом выводили крупные суммы. CERT-In подтвердила кражу ключей от криптокошельков и вывод средств, но не назвала пострадавшие биржи и не раскрыла объём потерь.

Агентство рекомендовало компаниям из группы риска считать кампанию активной и нарастающей, усилить круглосуточный мониторинг безопасности и увеличить дежурный штат, снизив порог срабатывания оповещений в праздники, выходные и другие периоды, когда контроль обычно слабее.