CERT-IN מתריע: שחקן איום תוקף חברות פינטק הודיות בסופי שבוע

צוות התגובה לאירועי סייבר של הודו (CERT-IN) הזהיר את תעשיית השירותים הפיננסיים במדינה מפני הסלמה משמעותית בתקיפות של מה שהוא מגדיר שחקן איום פיננסי בסיוע AI. השחקן, שנקרא CRAFTY FALCON, שב ותקף קורבנות לאחר תיקון חלקי, ותזמן את התקיפות כך שיחלו בחגים, בסופי שבוע ובחלונות אחרים של ניטור דליל.

מה מסר CERT-IN

CERT-IN איתר את התקיפות לראשונה באוקטובר ופרסם התראה שבה הזהיר פלטפורמות הלוואות דיגיטליות, חברות פינטק, ספקי שירותי תשלום ומפעילי ארנקים. התוקפים כיוונו ליישומים חשופים לאינטרנט, לממשקי API חשופים ולנקודות קצה בעלות הרשאות, ואם מצאו דרך פנימה ניסו לגנוב כסף באמצעות ממשקי API של תשלומים. ביום חמישי פרסם CERT-IN עדכון שבו נמסר כי ממשיכים להתקבל דיווחים על תקיפות מוצלחות, ובהם גם מגופים שניסו לתקן את מערכותיהם לאחר אירועים קודמים. אותם גופים הותקפו שוב במכוון, בין היתר לאחר תיקון חלקי, והתקיפות תוזמנו לחגים, לסופי שבוע ולחלונות ניטור דלילים כדי לעכב גילוי ותגובה.

כלים וטקטיקות

הארגון לביטחון סייבר כינה את התוקפים CRAFTY FALCON וחשף שהקבוצה משתמשת בכלים משודרגים ב-AI, ובהם כלי בדיקות החדירה ARTEX, מנוע חיפוש התקיפות Cairn ומסגרת CyberStrikeAI, שכולם נקשרו למשתמשים שנראים דוברי סינית. CRAFTY FALCON מחפש סביבות חשופות לאינטרנט שמשמשות לבדיקות או לפיתוח, ושם הוא מוצא פריטים כמו אישורי גישה משותפים, טוקנים או נתיבי רשת שמסייעים לו לעבור למערכות הייצור. אם הוא מצליח להיכנס, הקבוצה כותבת מחדש את היישומים של הקורבנות כך שיבצעו, למשל, קריאות API לא מורשות; מערכי ההגנה של הקורבנות מניחים שרק יישומים לגיטימיים קוראים לממשקים האלה, ולכן פעילות של יישומים שנכתבו מחדש אינה מסומנת כתקיפה. הקבוצה גם יוצרת גרסאות רבות זהות בתפקוד שמשוכללות ברצף מהיר, דפוס שמתאים לקוד שנוצר ב-AI ולפיתוח איטרטיבי בסיוע AI, והיא מנצלת במהירות פרצות שזה עתה התגלו כדי לשמור על רעננות התקיפות.

איך גונבים את הכסף

לאחר שהשיגה דריסת רגל, הקבוצה הפלילית מבצעת תשלומים זעירים של כ-0.01 דולר כדי לבדוק אם התקיפות עובדות. אם ההעברות עוברות, CRAFTY FALCON מבצע תשלומים גדולים יותר. כאשר היעד הוא בורסת קריפטו או ספק שירותי נכסים דיגיטליים וירטואליים, הקבוצה גונבת מפתחות ארנק ומרוקנת ארנקי קריפטו.

המלצות להגנה

המלצות CERT-IN לעסקים בהודו כוללות שיפור היכולת לתעד אירועים, לנטר חריגות בזמן אמת ולשלוח התראות. הוא גם קרא להשאיר סביבות בדיקה מחוץ לאינטרנט ולהגביל גישה למשאבי ענן, מפני ש-CRAFTY FALCON נוהג להשתמש בהם כדי להריץ את התקיפות שלו. CERT-IN הזהיר שהתקיפות פעילות ומתעצמות ולכן מחייבות ניטור 24x7. ההתראה מזכירה תקיפות על גופים בבנקאות, בשירותים פיננסיים ובביטוח, אך מפרטת רק את סוגי העסקים שהוזכרו לעיל ככאלה שדיווחו על תקיפות. בהודו פועלים אלפי בנקים, ורבים מהם פעילות קטנה שלעתים חסרה הגנת סייבר בסיסית, ולכן ל-CRAFTY FALCON יש בהודו סביבה עשירה ביעדים אם יבחר להרחיב את פעילותו.

מקורות: The Register