Narodowa agencja cyberbezpieczeństwa Indii ostrzega, że grupa hakerska wspierana przez sztuczną inteligencję nadal włamuje się do firm finansowych, w tym giełd kryptowalut, w niektórych przypadkach atakując podmioty, które już załatały swoje systemy po wcześniejszych ostrzeżeniach.

Indyjski Zespół Reagowania na Zagrożenia Komputerowe (CERT-In), działający pod nadzorem Ministerstwa Elektroniki i Technologii Informacyjnych, zidentyfikował sprawcę zagrożenia jako "CRAFTY FALCON" w zaktualizowanym ostrzeżeniu opublikowanym w środę. Nowy komunikat rozwija ostrzeżenie wydane po raz pierwszy w październiku i jest pierwszym, które wymienia giełdy kryptowalut bezpośrednio wśród atakowanych podmiotów. Opisuje również, w jaki sposób grupa wykorzystuje narzędzia AI do planowania i przeprowadzania ataków.

Firmy włamane nawet po wcześniejszych ostrzeżeniach

CERT-In stwierdził, że kampania nie wykazuje oznak osłabienia. "Zagrożenie jest aktywne i trwa" – podała agencja.

Zgodnie z ostrzeżeniem zespół reagowania sektora finansowego CERT-In, CSIRT-Fin, nadal otrzymuje raporty o skutecznych włamaniach. Część pochodziła od niebankowych pożyczkodawców i firm fintech, które wcześniej otrzymały ograniczone ostrzeżenia – alerty rozsyłane prywatnie do ograniczonej grupy firm, a nie publikowane – i podjęły kroki w celu usunięcia luk w swoich systemach. Celami ataków były również platformy pożyczek cyfrowych, agregatory płatności i dostawcy usług.

Agencja podała, że napastnicy kradli klucze do portfeli kryptowalutowych i opróżniali środki z portfeli – dla firm kryptowalutowych oznacza to, że włamanie może bezpośrednio przełożyć się na utratę aktywów, ponieważ klucze do portfeli są same w sobie poświadczeniami kontrolującymi środki. CERT-In nie podał nazw żadnych dotkniętych giełd kryptowalut ani nie ujawnił wysokości strat. Cointelegraph skontaktował się z CERT-In oraz kilkoma indyjskimi platformami kryptowalutowymi w celu uzyskania komentarza, m.in. z CoinDCX, CoinSwitch, WazirX, ZebPay i Mudrex. Odpowiedzi tych platform – lub przyszłe ostrzeżenie wymieniające poszkodowanych lub określające wysokość strat – byłyby pierwszym publicznym rozliczeniem kosztów kampanii dla sektora kryptowalut.

Jak działają ataki wspierane przez AI

CERT-In podał, że grupa "bada swoje cele z wykorzystaniem inteligencji maszynowej, działa z prędkością maszynową i uderza, wywołując własne API płatnicze i wypłat ofiary". W praktyce napastnicy wykorzystują własne systemy płatnicze firmy do przelania środków na zewnątrz.

Włamania zazwyczaj zaczynają się od słabych aplikacji i środowisk testowych wystawionych do internetu. Stamtąd napastnicy wykorzystują współdzielone dane logowania i tokeny dostępowe, aby przemieścić się do aktywnych systemów produkcyjnych. Atakują również infrastrukturę chmurową, aby umieścić złośliwe pliki.

Narzędzia AI pomagają grupie szybko pisać i ulepszać skrypty ataków, a inżynieria wsteczna kodu aplikacji pozwala tworzyć exploity dostosowane do każdego celu. W niektórych przypadkach napastnicy wysyłali niewielkie transakcje testowe, aby potwierdzić, że przelew się powiedzie, przed przesłaniem większych kwot. CERT-In podał, że część ataków była zaplanowana na weekendy i święta, gdy systemy monitoruje mniej pracowników, co pomagało intruzom opóźnić wykrycie.

Ostrzeżenie wymieniło również ARTEX, narzędzie do testów penetracyjnych z wykorzystaniem AI. W październiku firma cyberbezpieczeństwa CrowdStrike poinformowała, że nieznany napastnik użył ARTEX, wraz z Claude Code i innymi modelami AI, do włamania do południowokoreańskich firm finansowych i kradzieży danych.

Eksperci ds. bezpieczeństwa ostrzegali o tym trendzie wcześniej. Główny specjalista ds. bezpieczeństwa informacji Fundacji Solana, Michael Coates, powiedział Cointelegraphowi, że obrońcy potrzebują dostępu do najsilniejszych narzędzi AI. "Musimy zapewnić, aby najlepsze modele, jakie możemy uzyskać, trafiły w ręce obrońców, ponieważ atakujący i tak będą mieli coś wystarczająco zdolnego" – powiedział.

W lipcu szef działania polityki TRM Labs, Ari Redbord, stwierdził, że "techniki ataków rozwijają się szybciej, niż jest w stanie uwzględnić pojedynczy audyt z dnia premiery". Wezwał do prowadzenia ciągłych przeglądów bezpieczeństwa.

Agencja wzywa do całodobowego monitorowania

CERT-In przekazał zagrożonym firmom, aby "traktowały tę kampanię jako aktywną i narastającą". Agencja wezwała firmy do całodobowego monitorowania swoich systemów oraz doradziła zwiększenie obsady i obniżenie progów alertów podczas świąt, weekendów i innych okresów ograniczonego nadzoru. Wytyczne dotyczące obsady bezpośrednio odpowiadają ustaleniom CERT-In, że grupa "działa z prędkością maszynową" i zaplanowała ataki na okresy, gdy monitorowanie jest najsłabsze.

Ten artykuł pierwotnie ukazał się w CoinCentral.