Национальное агентство кибербезопасности Индии предупреждает, что хакерская группировка с использованием искусственного интеллекта продолжает взламывать финансовые компании, включая криптобиржи, — в ряде случаев атакам подвергались фирмы, которые уже устранили уязвимости после предыдущих предупреждений.

Индийская команда реагирования на компьютерные чрезвычайные ситуации (CERT-In), действующая под эгидой Министерства электроники и информационных технологий, идентифицировала угрозу как «CRAFTY FALCON» в обновленной рекомендации, опубликованной в среду. Новая рекомендация развивает предупреждение, впервые выпущенное агентством в октябре, и впервые прямо включает криптобиржи в список целевых организаций. В ней также подробно описывается, как группировка использует инструменты ИИ для планирования и проведения атак.

Взломы даже после предыдущих предупреждений

CERT-In сообщил, что кампания не демонстрирует признаков замедления. «Угроза активна и продолжается», — заявило агентство.

Согласно рекомендации, финансовый секторный отдел реагирования CERT-In, CSIRT-Fin, продолжает получать сообщения об успешных вторжениях. Некоторые из них поступили от небанковских кредиторов и финтех-компаний, которые уже получали ранее закрытые рекомендации — оповещения, распространяемые приватно среди ограниченного круга фирм, а не публикуемые открыто, — и приняли меры по устранению уязвимостей. Также подвергались атакам платформы цифрового кредитования, платежные агрегаторы и поставщики услуг.

Агентство сообщило, что злоумышленники похищали ключи от криптокошельков и опустошали средства — для криптобизнеса это означает, что взлом может напрямую обернуться потерей активов, поскольку ключи от кошельков сами являются учетными данными, контролирующими средства. CERT-In не назвал ни одну из пострадавших криптобирж и не раскрыл сумму потерь. Cointelegraph обратился за комментариями в CERT-In и к нескольким индийским криптоплатформам, включая CoinDCX, CoinSwitch, WazirX, ZebPay и Mudrex. Любые ответы этих платформ — или будущая рекомендация с указанием пострадавших и количественной оценкой потерь — станут первым публичным подсчетом стоимости кампании для криптосектора.

Как работают атаки с использованием ИИ

CERT-In сообщил, что группировка «разведывает цели с помощью машинного интеллекта, действует на скорости машины и наносит удары, задействуя собственные платежные и распределительные API жертвы». На практике злоумышленники используют собственные платежные системы компании для вывода средств.

Вторжения обычно начинаются со слабых приложений и тестовых сред, открытых в интернете. Далее злоумышленники используют общие учетные данные и токены доступа для lateral-перемещения в действующие производственные системы. Они также атакуют облачную инфраструктуру для размещения вредоносных файлов.

Инструменты ИИ помогают группировке быстро создавать и совершенствовать скрипты атак, а реверс-инжиниринг кода приложений позволяет разрабатывать эксплойты, адаптированные под каждую цель. В некоторых случаях злоумышленники отправляли небольшие тестовые транзакции, чтобы убедиться в успешности перевода, прежде чем переводить более крупные суммы. CERT-In отметил, что часть атак была приурочена к выходным и праздникам, когда за системами следит меньше сотрудников, что помогает злоумышленникам отложить обнаружение.

В рекомендации также упоминается ARTEX — инструмент пентестинга на базе ИИ. В октябре киберкомпания CrowdStrike сообщила, что неизвестный злоумышленник использовал ARTEX, а также Claude Code и другие модели ИИ, для взлома южнокорейских финансовых компаний и кражи данных.

Эксперты по безопасности ранее предупреждали об этой тенденции. Директор по информационной безопасности Solana Foundation Майкл Коутс рассказал Cointelegraph, что защитникам необходим доступ к самым мощным инструментам ИИ. «Нам нужно убедиться, что лучшие из доступных моделей находятся в руках защитников, потому что у атакующих будет нечто достаточно мощное», — сказал он.

В июле глава отдела политики TRM Labs Ари Редборд заявил, что «техники атак развиваются быстрее, чем это может учесть даже аудит, проведенный в день запуска». Он призвал к проведению постоянных проверок безопасности.

Агентство призывает к круглосуточному мониторингу

CERT-In сообщил компаниям из группы риска, чтобы те «рассматривали эту кампанию как активную и усиливающуюся». Агентство призвало компании круглосуточно отслеживать свои системы, а также рекомендовало добавлять персонал и снижать пороги оповещений в праздники, выходные и другие периоды сниженного контроля. Эти рекомендации напрямую связаны с выводом CERT-In о том, что группировка «действует на скорости машины» и приурочивает атаки к периодам наиболее слабого мониторинга.

Эта статья впервые была опубликована на CoinCentral.