Indiens nationale Cybersicherheitsbehörde warnt, dass eine KI-gestützte Hackergruppe weiterhin in Finanzunternehmen eindringt, darunter Krypto-Börsen – in einigen Fällen trafen es Unternehmen, die ihre Systeme nach früheren Warnungen bereits gepatcht hatten.

Das Indian Computer Emergency Response Team (CERT-In), das dem Ministerium für Elektronik und Informationstechnologie untersteht, identifizierte den Akteur als "CRAFTY FALCON" in einer aktualisierten Warnung, die am Mittwoch veröffentlicht wurde. Die neue Warnung baut auf einer erstmaligen Meldung der Behörde aus dem Oktober auf und führt Krypto-Börsen erstmals direkt unter den Zielunternehmen auf. Sie beschreibt außerdem, wie die Gruppe KI-Tools zur Planung und Ausführung ihrer Angriffe nutzt.

Kompromittierungen trotz früherer Warnungen

CERT-In erklärte, die Angriffskampagne zeige keine Anzeichen einer Verlangsamung. "Die Bedrohung ist aktiv und andauernd", teilte die Behörde mit.

Laut der Warnung erhält CERT-Ins Reaktionsteam für den Finanzsektor, CSIRT-Fin, weiterhin Meldungen über erfolgreiche Eindringversuche. Einige stammten von Non-Bank-Kreditgebern und Fintech-Unternehmen, die bereits zuvor vertrauliche Warnungen erhalten hatten – also Hinweise, die privat an einen begrenzten Kreis von Unternehmen verteilt statt veröffentlicht wurden – und Schritte zur Behebung ihrer Systeme unternommen hatten. Auch digitale Kreditplattformen, Zahlungsaggregatoren und Dienstleister wurden ins Visier genommen.

Die Behörde teilte mit, die Angreifer hätten Krypto-Wallet-Schlüssel gestohlen und Guthaben aus Wallets abgeschöpft – für Krypto-Unternehmen bedeutet das, dass eine Kompromittierung direkt in verlorene Vermögenswerte umschlagen kann, da Wallet-Schlüssel selbst die Zugangsdaten sind, die die Gelder kontrollieren. CERT-In nannte keine betroffenen Krypto-Börsen und gab auch keinen Verlustbetrag an. Cointelegraph kontaktierte CERT-In sowie mehrere indische Krypto-Plattformen – darunter CoinDCX, CoinSwitch, WazirX, ZebPay und Mudrex – für eine Stellungnahme. Antworten dieser Plattformen – oder eine künftige Warnung, die Opfer benennt oder Verluste beziffert – würden erstmals öffentlich das Ausmaß der Kosten der Kampagne für den Krypto-Sektor beleuchten.

Wie die KI-gestützten Angriffe funktionieren

CERT-In erklärte, die Gruppe "erkunde ihre Ziele mit maschineller Intelligenz, agiere mit Maschinengeschwindigkeit und schlage zu, indem sie die eigenen Zahlungs- und Auszahlungs-APIs des Opfers aufruft." In der Praxis nutzen die Angreifer die eigenen Zahlungssysteme eines Unternehmens, um Gelder abzuzweigen.

Die Eindringversuche beginnen typischerweise mit schwach gesicherten Anwendungen und Testumgebungen, die online exponiert sind. Von dort nutzen die Angreifer geteilte Zugangsdaten und Access Tokens, um sich seitlich in aktive Produktionssysteme zu bewegen. Zudem zielen sie auf Cloud-Infrastruktur ab, um bösartige Dateien zu platzieren.

KI-Tools helfen der Gruppe, Angriffsskripte schnell zu schreiben und zu verbessern, während das Reverse-Engineering von Anwendungscode maßgeschneiderte Exploits für jedes Ziel ermöglicht. In einigen Fällen sandten die Angreifer kleine Testtransaktionen, um zu bestätigen, dass eine Überweisung erfolgreich wäre, bevor sie größere Beträge bewegten. CERT-In teilte mit, dass einige Angriffe auf Wochenenden und Feiertage gelegt wurden, wenn weniger Personal die Systeme überwacht – was den Eindringlingen half, die Entdeckung zu verzögern.

Die Warnung nannte auch ARTEX, ein KI-Penetrationstesting-Tool. Im Oktober berichtete das Cybersicherheitsunternehmen CrowdStrike, dass ein unbekannter Angreifer ARTEX zusammen mit Claude Code und anderen KI-Modellen genutzt hatte, um in südkoreanische Finanzunternehmen einzudringen und Daten zu stehlen.

Sicherheitsexperten haben zuvor bereits vor diesem Trend gewarnt. Michael Coates, Chief Information Security Officer der Solana Foundation, erklärte gegenüber Cointelegraph, dass Verteidiger Zugang zu den stärksten KI-Tools benötigen. "Wir müssen sicherstellen, dass die besten Modelle, die wir bekommen können, in den Händen der Verteidiger sind, denn Angreifer werden über etwas hinreichend Leistungsfähiges verfügen", sagte er.

Im Juli sagte Ari Redbord, Head of Policy bei TRM Labs: "Angriffstechniken entwickeln sich schneller, als eine einzelne Prüfung zum Launch-Tag berücksichtigen kann." Er forderte fortlaufende Sicherheitsüberprüfungen.

Behörde fordert Rund-um-die-Uhr-Überwachung

CERT-In hat gefährdete Unternehmen angewiesen, "diese Kampagne als aktiv und eskalierend zu behandeln." Die Behörde forderte die Unternehmen auf, ihre Systeme rund um die Uhr zu überwachen, und empfahl, in Zeiten eingeschränkter Abdeckung – an Feiertagen, Wochenenden und anderen Zeiten mit reduzierter Besetzung – mehr Personal einzusetzen und die Alarmschwellen zu senken. Diese Personalempfehlung deckt sich unmittelbar mit CERT-Ins Feststellung, dass die Gruppe "mit Maschinengeschwindigkeit agiert" und ihre Schläge auf Zeiten gelegt hat, in denen die Überwachung am dünnsten ist.

Dieser Artikel erschien ursprünglich auf CoinCentral.