L'agenzia nazionale per la cibersicurezza indiana avverte che un gruppo di hacker supportato dall'intelligenza artificiale continua a violare aziende finanziarie, tra cui gli exchange di criptovalute, colpendo in alcuni casi aziende che avevano già corretto i propri sistemi dopo precedenti avvisi.

L'Indian Computer Emergency Response Team (CERT-In), che opera sotto il Ministero dell'Elettronica e della Tecnologia dell'Informazione, ha identificato l'attore minaccioso come "CRAFTY FALCON" in un avviso aggiornato diffuso mercoledì. Il nuovo avviso si basa su un avvertimento emesso dall'agenzia a ottobre, ed è il primo a elencare direttamente gli exchange di criptovalute tra le attività bersagliate. Descrive inoltre in dettaglio come il gruppo utilizzi strumenti di IA per pianificare ed eseguire i propri attacchi.

Aziende violate anche dopo avvisi precedenti

Il CERT-In ha dichiarato che la campagna non mostra segni di rallentamento. "La minaccia è attiva e in corso", ha affermato l'agenzia.

Secondo l'avviso, la squadra di risposta per il settore finanziario del CERT-In, CSIRT-Fin, continua a ricevere segnalazioni di intrusioni riuscite. Alcune provenivano da istituti di credito non bancari e aziende fintech che avevano già ricevuto precedenti avvisi riservati — avvisi distribuiti privatamente a un numero limitato di aziende anziché pubblicati — e avevano adottato misure per correggere i propri sistemi. Anche piattaforme di prestito digitale, aggregatori di pagamenti e fornitori di servizi sono stati bersagliati.

L'agenzia ha dichiarato che gli aggressori hanno rubato le chiavi di wallet di criptovalute e svuotato i fondi dai wallet — per le aziende crypto, ciò significa che una violazione può tradursi direttamente in perdita di asset, poiché le chiavi dei wallet sono esse stesse le credenziali che controllano i fondi. Il CERT-In non ha indicato gli exchange di criptovalute colpiti e non ha divulgato l'entità delle perdite. Cointelegraph ha contattato il CERT-In e diverse piattaforme crypto indiane per un commento, tra cui CoinDCX, CoinSwitch, WazirX, ZebPay e Mudrex. Eventuali risposte da parte di queste piattaforme — o un futuro avviso che indichi le vittime o quantifichi le perdite — fornirebbero la prima ricostruzione pubblica del costo della campagna per il settore crypto.

Come funzionano gli attacchi supportati dall'IA

Il CERT-In ha dichiarato che il gruppo "esplora i propri bersagli con l'intelligenza delle macchine, opera alla velocità delle macchine e colpisce invocando le API di pagamento e erogazione della vittima". In pratica, gli aggressori utilizzano i sistemi di pagamento dell'azienda stessa per spostare denaro all'esterno.

Le intrusioni iniziano tipicamente con applicazioni vulnerabili e ambienti di test esposti online. Da lì, gli aggressori utilizzano credenziali di accesso condivise e token di accesso per muoversi lateralmente verso i sistemi di produzione attivi. Prendono di mira anche l'infrastruttura cloud per installare file dannosi.

Gli strumenti di IA aiutano il gruppo a scrivere e migliorare rapidamente gli script di attacco, mentre il reverse engineering del codice applicativo consente di creare exploit personalizzati per ogni bersaglio. In alcuni casi, gli aggressori hanno inviato piccole transazioni di prova per confermare il buon esito di un trasferimento prima di spostare importi maggiori. Il CERT-In ha dichiarato che alcuni attacchi sono stati programmati nei fine settimana e durante le festività, quando meno personale monitora i sistemi, aiutando gli intrusi a ritardare il rilevamento.

L'avviso ha inoltre menzionato ARTEX, uno strumento di penetration testing basato su IA. A ottobre, l'azienda di cibersicurezza CrowdStrike ha riportato che un aggressore sconosciuto ha utilizzato ARTEX, insieme a Claude Code e altri modelli di IA, per violare aziende finanziarie sudcoreane e rubare dati.

Gli esperti di sicurezza hanno già messo in guardia su questa tendenza. Il chief information security officer della Solana Foundation, Michael Coates, ha detto a Cointelegraph che i difensori hanno bisogno di accedere agli strumenti di IA più potenti. "Dobbiamo assicurarci che i migliori modelli disponibili siano nelle mani dei difensori, perché gli aggressori avranno comunque qualcosa di sufficientemente capace", ha dichiarato.

A luglio, il head of policy di TRM Labs, Ari Redbord, ha affermato che "le tecniche di attacco si muovono più velocemente di quanto possa contemplare un singolo audit fatto il giorno del lancio". Ha invocato verifiche di sicurezza continue.

L'agenzia esorta al monitoraggio h24

Il CERT-In ha chiesto alle aziende a rischio di "trattare questa campagna come attiva e in escalazione". L'agenzia ha esortato le aziende a monitorare i propri sistemi h24 e ha consigliato di aggiungere personale e abbassare le soglie di allerta durante festività, fine settimana e altri periodi di copertura ridotta. Le indicazioni sul personale coincidono direttamente con la constatazione del CERT-In che il gruppo "opera alla velocità delle macchine" e ha programmato attacchi nei periodi in cui il monitoraggio è più debole.

Questo articolo è apparso originariamente su CoinCentral.