Het nationale cyberveiligheidsagentschap van India waarschuwt dat een door kunstmatige intelligentie ondersteunde hackergroep financiële bedrijven blijft binnendringen, waaronder cryptovalutabeurzen — in sommige gevallen bedrijven die hun systemen al hadden hersteld na eerdere adviezen.

Het Indian Computer Emergency Response Team (CERT-In), dat onder het Ministerie van Elektronica en Informatietechnologie valt, heeft de dreigingsactor geïdentificeerd als "CRAFTY FALCON" in een bijgewerkt advies dat woensdag is uitgebracht. Het nieuwe advies bouwt voort op een waarschuwing die het agentschap in oktober voor het eerst uitgaf, en is het eerste dat cryptovalutabeurzen rechtstreeks noemt als doelwittige bedrijven. Het beschrijft ook hoe de groep AI-tools gebruikt om haar aanvallen te plannen en uit te voeren.

Bedrijven Binnengevallen Zelfs Na Eerdere Waarschuwingen

CERT-In zei dat de campagne geen tekenen van vertraging vertoont. "De dreiging is actief en gaande", aldus het agentschap.

Volgens het advies blijft het financiële responsteam van CERT-In, CSIRT-Fin, meldingen ontvangen van geslaagde indringingen. Sommige kwamen van niet-bancaire kredietverstrekkers en fintechbedrijven die al eerder beperkte adviezen hadden ontvangen — waarschuwingen die privé aan een beperkte groep bedrijven werden verspreid in plaats van openbaar gemaakt — en stappen hadden ondernomen om hun systemen te herstellen. Ook digitale kredietplatforms, betaalaggregators en dienstverleners zijn aangewezen als doelwit.

Het agentschap meldde dat de aanvallers sleutels van cryptovalutawallets hebben gestolen en geld uit wallets hebben geleegd — voor crypto-bedrijven betekent dit dat een inbreuk direct kan leiden tot verlies van activa, aangezien walletsleutels zelf de credentials zijn die de fondsen beheren. CERT-In heeft geen getroffen crypto-beurzen bij naam genoemd en heeft niet bekendgemaakt hoeveel geld is verloren. Cointelegraph heeft CERT-In en verschillende Indiase crypto-platforms om commentaar gevraagd, waaronder CoinDCX, CoinSwitch, WazirX, ZebPay en Mudrex. Reacties van deze platforms — of een toekomstig advies dat slachtoffers bij naam noemt of verliezen kwantificeert — zouden de eerste openbare verrekening opleveren van de kosten van de campagne voor de cryptosector.

Hoe de AI-Ondersteunde Aanvallen Werken

CERT-In meldde dat de groep "haar doelwitten verkent met machine-intelligentie, opereert op machinesnelheid en toeslaat door de eigen betaal- en uitbetalings-API's van het slachtoffer aan te roepen." In de praktijk gebruiken de aanvallers de eigen betaalsystemen van een bedrijf om geld weg te sluizen.

De indringingen beginnen doorgaans met zwakke applicaties en testomgevingen die online toegankelijk zijn. Van daaruit gebruiken de aanvallers gedeelde inloggegevens en toegangstokens om lateraal door te dringen tot live productiesystemen. Ze richten zich ook op cloudinfrastructuur om kwaadaardige bestanden te plaatsen.

AI-tools helpen de groep om snel aanvalsscripts te schrijven en te verbeteren, terwijl reverse engineering van applicatiecode het mogelijk maakt exploits op maat te bouwen voor elk doelwit. In sommige gevallen stuurden de aanvallers kleine testtransacties om te bevestigen dat een overschrijving zou slagen voordat ze grotere bedragen verplaatsten. CERT-In meldde dat sommige aanvallen werden gepland in weekenden en op feestdagen, wanneer minder medewerkers de systemen monitoren, wat de indringers helpt de detectie uit te stellen.

Het advies noemde ook ARTEX, een AI-tool voor penetratietests. In oktober meldde het cyberveiligheidsbedrijf CrowdStrike gerapporteerd te hebben dat een onbekende aanvaller ARTEX gebruikte, samen met Claude Code en andere AI-modellen, om Zuid-Koreaanse financiële bedrijven binnen te dringen en data te stelen.

Cyberveiligheidsdeskundigen hebben eerder gewaarschuwd voor deze trend. Solana Foundation chief information security officer Michael Coates vertelde aan Cointelegraph dat verdedigers toegang nodig hebben tot de sterkste AI-tools. "We moeten ervoor zorgen dat de beste modellen die we kunnen krijgen in handen zijn van verdedigers, want aanvallers zullen iets beschikbaars hebben dat capabel genoeg is", aldus Coates.

In juli verklaarde TRM Labs hoofd beleid Ari Redbord: "aanvalstechnieken bewegen sneller dan een enkele audit vanaf de lanceerdag kan dekken." Hij pleitte voor doorlopende beveiligingsbeoordelingen.

Agentschap Roept Op tot Monitoring Rond de Klok

CERT-In heeft risicobedrijven opgedragen "deze campagne als actief en escalerend te behandelen." Het agentschap riep bedrijven op hun systemen rond de klok te monitoren en adviseerde om extra personeel toe te voegen en alertdrempels te verlagen tijdens feestdagen, weekenden en andere periodes met verminderde bezetting. De personeelsrichtlijn sluit direct aan bij de bevinding van CERT-In dat de groep "opereert op machinesnelheid" en aanvallen heeft gepland op momenten waarop de monitoring het dunst is.

Dit artikel verscheen oorspronkelijk op CoinCentral.