beveiliging
CERT-IN waarschuwt voor ‘significante escalatie’ in door AI aangedreven aanvallen, sommige nadat slachtoffers hun verdediging probeerden te verbeteren
India’s Computer Emergency Response Team heeft de financiële dienstverlening van het land gewaarschuwd voor een “significante escalatie” in aanvallen door wat het omschrijft als een “AI-ondersteunde financiële bedreigingsactor” die slachtoffers opnieuw heeft aangevallen nadat herstelpogingen waren mislukt.
CERT-IN ontdekte de aanvallen voor het eerst in oktober en gaf een advies uit waarin het digitale leenplatforms, fintechbedrijven, betalingsdienstverleners en wallet-exploitanten waarschuwde dat aanvallers internetzichtbare applicaties, blootgestelde API’s en geprivilegieerde eindpunten targetten. Als de aanvallers binnenkwamen, probeerden ze betalings-API’s te misbruiken om geld te stelen.
Donderdag publiceerde CERT-IN een update waarin werd gemeld dat het nog steeds hoort over succesvolle aanvallen, ook van organisaties die probeerden hun systemen te herstellen na eerdere incidenten.
“Dezelfde entiteiten zijn opzettelijk opnieuw doelwit gemaakt, ook na onvolledige herstelacties, en aanvallen zijn getimed rond vakanties, weekenden en andere perioden met beperkte monitoring om detectie en respons te vertragen,” waarschuwde CERT-IN.
CERT-IN heeft besloten dat de aanvallers een naam nodig hebben en koos voor “CRAFTY FALCON.”
De securityorganisatie onthult ook dat de groep AI-versterkte tools gebruikt, waaronder de ARTEX pen-testing tool, de Cairn attack search engine en het CyberStrikeAI-framework — allemaal gelinkt aan gebruikers die lijken Chinees te spreken.
De tactiek van CRAFTY FALCON bestaat eruit internetblootgestelde omgevingen te zoeken die voor testen of ontwikkeling worden gebruikt, waar het artefacten vindt zoals gedeelde inloggegevens, tokens of netwerkpaden die helpen om naar productiesystemen te bewegen.
Als het erin slaagt binnen te komen, herschrijft de groep de applicaties van slachtoffers zodat ze bijvoorbeeld onbevoegde API-aanroepen doen. De verdediging van slachtoffers gaat ervan uit dat alleen legitieme apps die API’s zouden aanroepen, waardoor activiteit van de herschreven apps niet als een aanval wordt gemarkeerd.
Zelfs als slachtoffers een aanval vermoeden, hebben ze veel om mee om te gaan, omdat CERT-IN meldt dat CRAFTY FALCON veel “functioneel identieke varianten in snel tempo verfijnt; een patroon dat consistent is met door AI gegenereerde code en iteratieve AI-ondersteunde ontwikkeling.”
De groep maakt ook snel gebruik van nieuw ontdekte kwetsbaarheden om haar aanvallen actueel te houden.
Wanneer zij een voet tussen de deur heeft, verricht de criminele groep eerst kleine betalingen van ongeveer $0.01 om te testen of haar aanvallen werken. Als die transfers lukken, voert CRAFTY FALCON grotere betalingen uit. Wanneer het doelwit een cryptocurrency-beurs of een dienstverlener van virtuele digitale activa is, steelt de groep wallet-sleutels en maakt cryptocurrency-portefeuilles leeg.
Leveranciers van observability-tools zullen hun Indiase verkoopteams vandaag waarschijnlijk aansporen, want CERT-IN raadt Indiase bedrijven aan hun vermogen te verbeteren om gebeurtenissen te loggen, afwijkingen realtime te monitoren en waarschuwingen te verzenden. Het drong ook aan op het van internet houden van testomgevingen en het beperken van toegang tot cloudbronnen, omdat CRAFTY FALCON deze vaak gebruikt om haar aanvallen uit te voeren.
CERT-IN waarschuwt verder dat de aanvallen “actief en escalerend” zijn en daarom 24×7 monitoring verdienen.
Opmerkelijk is dat het advies van CERT aanvallen op “entiteiten” in bankwezen, financiële diensten en verzekeringen noemt, maar alleen de hierboven genoemde soorten bedrijven expliciet als melders van aanvallen aanwijst.
The Register wijst hierop omdat India letterlijk duizenden banken huisvest, waarvan velen kleine instellingen zijn die soms basisbescherming tegen informatiebeveiligingsrisico’s missen. CRAFTY FALCON heeft daarmee een doelrijk domein in India als het besluit zijn activiteiten uit te breiden. ®
