L'agence nationale indienne de cybersécurité avertit qu'un groupe de hackers assisté par l'intelligence artificielle continue de s'introduire dans des entreprises financières, y compris des plateformes d'échange de cryptomonnaies, touchant parfois des sociétés qui avaient déjà corrigé leurs systèmes après des avis antérieurs.

L'Indian Computer Emergency Response Team (CERT-In), qui dépend du ministère de l'Électronique et des Technologies de l'Information, a identifié l'acteur malveillant sous le nom de "CRAFTY FALCON" dans un avis actualisé publié mercredi. Ce nouvel avis s'appuie sur une alerte émise pour la première fois en octobre par l'agence, et c'est le premier à citer directement les plateformes crypto parmi les entreprises ciblées. Il détaille également la manière dont le groupe utilise des outils d'IA pour planifier et exécuter ses attaques.

Des entreprises compromises malgré des alertes antérieures

Le CERT-In a indiqué que la campagne ne montre aucun signe de ralentissement. "La menace est active et en cours", a déclaré l'agence.

Selon l'avis, l'équipe de réponse du secteur financier du CERT-In, le CSIRT-Fin, continue de recevoir des signalements d'intrusions réussies. Certains provenaient de prêteurs non bancaires et d'entreprises fintech qui avaient déjà reçu des avis confidentiels antérieurs — des alertes distribuées de manière privée à un ensemble restreint d'entreprises plutôt que publiées — et avaient pris des mesures pour remédier aux failles de leurs systèmes. Les plateformes de prêt numérique, les agrégateurs de paiement et les fournisseurs de services ont également été ciblés.

L'agence a précisé que les attaquants avaient volé des clés de portefeuilles de cryptomonnaies et vidé les fonds de ces portefeuilles — pour les entreprises crypto, cela signifie qu'une intrusion peut se traduire directement en perte d'actifs, puisque les clés de portefeuille sont elles-mêmes les informations d'identification qui contrôlent les fonds. Le CERT-In n'a nommé aucune plateforme crypto touchée et n'a pas divulgué le montant des pertes. Cointelegraph a contacté le CERT-In ainsi que plusieurs plateformes crypto indiennes pour obtenir des commentaires, notamment CoinDCX, CoinSwitch, WazirX, ZebPay et Mudrex. Toute réponse de ces plateformes — ou un futur avis nommant les victimes ou quantifiant les pertes — fournirait le premier bilan public du coût de la campagne pour le secteur crypto.

Le fonctionnement des attaques assistées par l'IA

Le CERT-In a déclaré que le groupe "étudie ses cibles grâce à l'intelligence des machines, opère à la vitesse des machines et frappe en invoquant les propres API de paiement et de décaissement de la victime." En pratique, les attaquants utilisent les systèmes de paiement d'une entreprise pour transférer les fonds à l'extérieur.

Les intrusions commencent généralement par des applications vulnérables et des environnements de test exposés en ligne. À partir de là, les attaquants utilisent des identifiants de connexion partagés et des jetons d'accès pour se déplacer latéralement vers les systèmes de production en activité. Ils ciblent également l'infrastructure cloud pour y déposer des fichiers malveillants.

Les outils d'IA aident le groupe à rédiger et améliorer rapidement ses scripts d'attaque, tandis que la rétro-ingénierie du code applicatif lui permet de concevoir des exploits adaptés à chaque cible. Dans certains cas, les attaquants ont envoyé de petites transactions de test pour confirmer qu'un transfert aboutirait avant de déplacer des montants plus importants. Le CERT-In a indiqué que certaines attaques avaient été programmées pendant les week-ends et jours fériés, lorsque moins de personnel surveille les systèmes, ce qui aide les intrus à retarder leur détection.

L'avis mentionne également ARTEX, un outil de test d'intrusion assisté par IA. En octobre, la société de cybersécurité CrowdStrike a rapporté qu'un attaquant inconnu avait utilisé ARTEX, ainsi que Claude Code et d'autres modèles d'IA, pour s'introduire dans des entreprises financières sud-coréennes et voler des données.

Des experts en sécurité avaient déjà alerté sur cette tendance. Le directeur de la sécurité de l'information de la Solana Foundation, Michael Coates, a déclaré à Cointelegraph que les défenseurs doivent avoir accès aux outils d'IA les plus puissants. "Nous devons nous assurer que les meilleurs modèles dont nous disposons sont entre les mains des défenseurs, car les attaquants auront quelque chose d'assez performant", a-t-il déclaré.

En juillet, le directeur des politiques de TRM Labs, Ari Redbord, a déclaré que "les techniques d'attaque évoluent plus vite qu'un audit unique réalisé le jour du lancement ne peut le prendre en compte." Il a plaidé pour des revues de sécurité continues.

L'agence exhorte à une surveillance en continu

Le CERT-In a demandé aux entreprises à risque de "considérer cette campagne comme active et en escalade." L'agence a exhorté les entreprises à surveiller leurs systèmes en continu, et leur a conseillé d'ajouter du personnel et d'abaisser les seuils d'alerte pendant les jours fériés, les week-ends et les autres périodes de couverture réduite. Ces recommandations en matière d'effectifs sont directement liées à la conclusion du CERT-In selon laquelle le groupe "opère à la vitesse des machines" et a programmé ses frappes pendant les périodes où la surveillance est la plus faible.

Cet article est initialement paru sur CoinCentral.