ممثل تهديد يهاجم شركات التكنولوجيا المالية الهندية في عطلات نهاية الأسبوع، حسب CERT-IN

حذّر فريق الاستجابة لطوارئ الحاسوب في الهند (CERT-IN) صناعة الخدمات المالية في البلاد من تصعيد كبير في الهجمات من ممثل تهديد مالي مدعوم بالذكاء الاصطناعي، وفق وصفها. وأعاد الممثل، المسمى CRAFTY FALCON، استهداف الضحايا بعد إصلاح غير مكتمل، ووقّت الهجمات لتتزامن مع العطلات وعطلات نهاية الأسبوع ونوافذ المراقبة المنخفضة الأخرى.

ما أفادت به CERT-IN

اكتشفت CERT-IN الهجمات لأول مرة في أكتوبر وأصدرت توجيهاً يحذر منصات الإقراض الرقمي وكيانات التكنولوجيا المالية ومقدمي خدمات الدفع ومشغلي المحافظ. كان المهاجمون يستهدفون التطبيقات المواجهة للإنترنت وواجهات برمجة التطبيقات المكشوفة ونقاط النهاية المميزة، وإذا وجدوا طريقاً للدخول حاولوا استخدام واجهات برمجة التطبيقات للدفع لسرقة الأموال. ونشرت CERT-IN يوم الخميس تحديثاً قالت فيه إنها لا تزال تسمع عن هجمات ناجحة، بما في ذلك من جهات حاولت إصلاح أنظمتها بعد حوادث سابقة. وأُعيد استهداف الكيانات نفسها عمداً، بما في ذلك بعد إصلاح غير مكتمل، ووُقّتت الهجمات لتتزامن مع العطلات وعطلات نهاية الأسبوع ونوافذ المراقبة المنخفضة الأخرى لتأخير الاكتشاف والاستجابة.

الأدوات والتكتيكات

سمّت المنظمة الأمنية المهاجمين CRAFTY FALCON وكشفت أن الفريق يستخدم أدوات محسّنة بالذكاء الاصطناعي، بما في ذلك أداة اختبار الاختراق ARTEX ومحرك البحث عن الهجمات Cairn وإطار CyberStrikeAI، وجميعها رُبطت بمستخدمين يبدو أنهم يتحدثون الصينية. يبحث CRAFTY FALCON عن بيئات مكشوفة للإنترنت تُستخدم للاختبار أو التطوير، حيث يجد آثاراً مثل بيانات اعتماد مشتركة أو رموز أو مسارات شبكة تساعد على الانتقال إلى أنظمة الإنتاج. إذا تمكن من الدخول، أعاد الفريق كتابة تطبيقات الضحايا لتقوم بأشياء مثل إجراء استدعاءات API غير مصرح بها، وتفترض دفاعات الضحايا أن التطبيقات المشروعة فقط هي التي تستدعي تلك الواجهات، لذلك لا تُعلَّم النشاطات التي تجريها التطبيقات المعاد كتابتها على أنها هجوم. كما ينشئ الفريق العديد من المتغيرات متطابقة الوظيفة والمصقولة بسرعة متتالية، وهو نمط متسق مع كود مولّد بالذكاء الاصطناعي وتطوير تكراري مدعوم بالذكاء الاصطناعي، ويستغل بسرعة الثغرات المكتشفة حديثاً للحفاظ على حداثة هجماته.

كيف تُسرق الأموال

بمجرد حصوله على موطئ قدم، يجري الفريق الإجرامي مدفوعات صغيرة بقيمة نحو 0.01 دولار لاختبار ما إذا كانت هجماته تعمل. إذا نجحت تلك التحويلات، يُجري CRAFTY FALCON مدفوعات أكبر. عندما يكون الهدف بورصة للعملات المشفرة أو مقدم خدمة أصول رقمية افتراضية، يسرق الفريق مفاتيح المحافظ ويُفرغ محافظ العملات المشفرة.

نصائح للمدافعين

تشمل نصائح CERT-IN للشركات الهندية تحسين قدرتها على تسجيل الأحداث ومراقبة الشذوذ في الوقت الفعلي وإرسال التنبيهات. كما حثّت على إبقاء بيئات الاختبار خارج الإنترنت وتقييد الوصول إلى موارد السحابة لأن CRAFTY FALCON يميل إلى استخدامها لتشغيل هجماته. وحذر CERT-IN من أن الهجمات نشطة ومتصاعدة ولذلك تستحق مراقبة على مدار 24x7. يذكر التوجيه هجمات على كيانات عبر المصرفية والخدمات المالية والتأمين، لكنه يذكر فقط أنواع الشركات المذكورة أعلاه على أنها أبلغت عن هجمات. وتضم الهند آلاف البنوك، وكثير منها عمليات صغيرة تفتقر أحياناً إلى حمايات معلومات أساسية، لذلك لدى CRAFTY FALCON بيئة غنية بالأهداف في الهند إذا اختار توسيع أنشطته.

المصادر: The Register