CERT-IN, Hindistanlı fintech'leri hafta sonları hedef alan tehdit aktörü konusunda uyardı

Hindistan'ın Bilgisayar Acil Müdahale Ekibi, yapay zeka destekli mali bir tehdit aktörü olarak tanımladığı aktörün saldırılarında önemli bir artış konusunda ülkenin finansal hizmetler sektörünü uyardı. CRAFTY FALCON adlı aktör, eksik düzeltmelerin ardından kurbanları yeniden hedef almış ve saldırıları tatiller, hafta sonları ve izlemenin az olduğu diğer zaman aralıklarıyla çakışacak şekilde zamanlamıştır.

CERT-IN ne bildirdi

CERT-IN, saldırıları ilk olarak Ekim ayında tespit etti ve dijital kredi platformlarını, fintech kuruluşlarını, ödeme hizmeti sağlayıcılarını ve cüzdan operatörlerini uyaran bir danışma yayımladı. Saldırganlar internet'e açık uygulamaları, açık API'leri ve yetkili uç noktaları hedef alıyordu; bir giriş yolu bulurlarsa para çalmak için ödeme API'lerini kullanmaya çalışıyorlardı. Perşembe günü CERT, daha önceki olayların ardından sistemlerini onarmaya çalışan kuruluşlar da dahil olmak üzere başarılı saldırı haberlerini almaya devam ettiğini belirten bir güncelleme yayımladı. Aynı kuruluşlar, eksik onarım dahil, kasıtlı olarak yeniden hedef alınmış; saldırılar tespit ve müdahaleyi geciktirmek için tatiller, hafta sonları ve izlemenin az olduğu diğer zaman aralıklarıyla çakışacak şekilde zamanlanmış.

Araçlar ve taktikler

Güvenlik kuruluşu saldırganları CRAFTY FALCON olarak adlandırdı ve ekibin ARTEX sızma testi aracı, Cairn saldırı arama motoru ve CyberStrikeAI çerçevesi gibi yapay zeka ile güçlendirilmiş araçlar kullandığını ortaya koydu; tüm bunlar Çince konuşuyor görünen kullanıcılarla ilişkilendirilmiştir. CRAFTY FALCON, test veya geliştirme için kullanılan internet'e açık ortamları arar ve üretim sistemlerine geçmesine yardımcı olan paylaşılan kimlik bilgileri, belirteçler veya ağ yolları gibi kalıntılar bulur. İçeri girerse ekip, kurbanların uygulamalarını yetkisiz API çağrıları yapma gibi işler yapacak şekilde yeniden yazar; kurbanların savunmaları yalnızca meşru uygulamaların bu API'leri çağıracağını varsayar, bu nedenle yeniden yazılmış uygulamaların etkinliği saldırı olarak işaretlenmez. Ekip ayrıca hızlı ardışıklıkta iyileştirilen işlevsel olarak özdeş çok sayıda varyant oluşturur; bu, yapay zeka ile üretilmiş kod ve yinelemeli yapay zeka destekli geliştirme ile tutarlı bir örüntüdür ve saldırılarını güncel tutmak için yeni keşfedilen güvenlik açıklarını hızla sömürür.

Para nasıl çalınıyor

Bir dayanak elde ettiğinde suçlu ekip, saldırılarının işe yarayıp yaramadığını sınamak için yaklaşık $0.01'lik küçük ödemeler yapar. Bu transferler işe yararsa CRAFTY FALCON daha büyük ödemeler yapar. Hedef bir kripto para borsası veya sanal dijital varlık hizmet sağlayıcısı olduğunda ekip cüzdan anahtarlarını çalar ve kripto para cüzdanlarını boşaltır.

Savunmacılara öneriler

CERT-IN'in Hint işletmelerine önerisi; olayları kaydetme, anomalileri gerçek zamanlı izleme ve uyarı gönderme yeteneklerini geliştirmeyi içerir. Ayrıca test ortamlarını internetten uzak tutmayı ve bulut kaynaklarına erişimi kısıtlamayı da önerdi; çünkü CRAFTY FALCON saldırılarını yürütmek için bunları kullanmayı seviyor. CERT, saldırıların aktif ve tırmanmakta olduğunu ve bu nedenle 24x7 izlemeye değer olduğunu uyardı. Danışma, bankacılık, finansal hizmetler ve sigorta alanlarındaki kuruluşlara yönelik saldırıları da anıyor, ancak rapor edilen saldırıları yalnızca yukarıda belirtilen türdeki işletmeleri adlandırıyor. Hindistan binlerce bankaya ev sahipliği yapıyor; bunların çoğu bazen temel bilgi güvenliği korumalarından yoksun küçük işletmeler olduğundan, CRAFTY FALCON faaliyetlerini genişletmeyi seçerse Hindistan'da hedef açısından zengin bir ortam bulur.

Kaynaklar: The Register