Актор загроз націлюється на індійські фінтех-компанії у вихідні, попереджає CERT-IN

Команда реагування на комп'ютерні надзвичайні ситуації Індії попередила фінансовий сектор країни про значне зростання атак з боку того, що вона описує як фінансового актора загроз з підтримкою ШІ. Актор, названий CRAFTY FALCON, повторно атакував жертв після неповного виправлення і планував атаки на свята, вихідні та інші періоди з низьким рівнем моніторингу.

Про що повідомив CERT-IN

CERT-IN уперше виявив атаки в жовтні і видав рекомендацію для платформ цифрового кредитування, фінтех-компаній, постачальників платіжних послуг та операторів електронних гаманців. Зловмисники націлювалися на застосунки, відкриті для інтернету, відкриті API та привілейовані кінцеві точки, а якщо знаходили шлях у систему, намагалися використати платіжні API для викрадення грошей. У четвер CERT опублікував оновлення, у якому повідомив, що продовжує отримувати інформацію про успішні атаки, зокрема від організацій, які намагалися виправити свої системи після попередніх інцидентів. Ті самі організації було навмисно повторно атаковано, зокрема після неповного виправлення, а атаки планували на свята, вихідні та інші періоди з низьким рівнем моніторингу, щоб відтермінувати виявлення та реагування.

Інструменти та тактики

Організація з безпеки назвала зловмисників CRAFTY FALCON і повідомила, що група використовує інструменти з підтримкою ШІ, зокрема інструмент тестування на проникнення ARTEX, пошукову систему для атак Cairn і фреймворк CyberStrikeAI; усі вони були пов'язані з користувачами, які, імовірно, розмовляють китайською. CRAFTY FALCON шукає середовища, відкриті для інтернету і призначені для тестування або розробки, де знаходить артефакти, зокрема спільні облікові дані, токени або мережеві шляхи, що допомагають їй перейти до виробничих систем. Якщо групі вдається проникнути, вона переписує застосунки жертв так, щоб вони робили, зокрема, несанкціоновані виклики API, а захист жертв виходить з того, що лише легітимні застосунки викликають ці API, тому діяльність переписаних застосунків не позначається як атака. Група також створює багато функціонально ідентичних варіантів, які швидко вдосконалюються один за одним; це відповідає шаблону коду, згенерованого ШІ, та ітеративної розробки з підтримкою ШІ, і вона швидко використовує щойно виявлені вразливості, щоб тримати свої атаки актуальними.

Як викрадають гроші

Отримавши опорну точку, злочинна група робить крихітні платежі приблизно по 0,01 долара, щоб перевірити, чи працюють її атаки. Якщо ці перекази проходять, CRAFTY FALCON робить більші платежі. Якщо ціллю є криптовалютна біржа або постачальник послуг з віртуальних цифрових активів, група викрадає ключі гаманців і спустошує криптовалютні гаманці.

Поради для захисників

Рекомендації CERT-IN для індійських підприємств включають поліпшення можливостей реєструвати події, відстежувати аномалії в реальному часі та надсилати сповіщення. Вона також закликала тримати тестові середовища поза інтернетом і обмежувати доступ до хмарних ресурсів, оскільки CRAFTY FALCON любить використовувати їх для проведення своїх атак. CERT попередив, що атаки активні і посилюються, тому варто вести моніторинг 24x7. У рекомендації згадуються атаки на організації у банківській сфері, фінансових послугах та страхуванні, але як такі, що повідомили про атаки, називаються лише види бізнесу, згадані вище. В Індії є тисячі банків, багато з яких є невеликими операціями, що іноді не мають базового захисту інформаційної безпеки, тому CRAFTY FALCON має в Індії середовище з великою кількістю цілей, якщо вирішить розширити свою діяльність.

Джерела: The Register