Индийская национальная служба кибербезопасности CERT-In выпустила обновлённое предупреждение, в котором впервые прямо назвала криптовалютные биржи в числе целей атакующей группировки CRAFTY FALCON. Ведомство сообщило, что кампания остаётся активной и нарастающей, несмотря на ранее выпущенные закрытые рекомендации и проведённые компаниями исправления.
По данным CERT-In, злоумышленники уже проникали в системы небанковских финансовых организаций, финтех-компаний, платформ цифрового кредитования, платёжных агрегаторов и поставщиков услуг. В ряде случаев атаки были успешными даже после того, как жертвы устраняли ранее выявленные проблемы. Хакеры похищали ключи от криптокошельков и выводили средства. Конкретные биржи и суммы ущерба не раскрываются.
Технически группа действует с использованием машинного интеллекта и «на скорости машины», задействуя собственные платёжные API и API disbursement жертв для вывода денег. Атакующие проникают через незащищённые тестовые и staging-среды, затем с помощью общих учётных данных и токенов доступа переходят в боевые системы. Они также компрометируют облачную инфраструктуру, включая AWS Systems Manager и Lambda, и размещают вредоносные файлы.
Среди инструментов названы ИИ-решения ARTEX, автономная мультиагентная система PentAGI, поисковик атак Cairn и фреймворк CyberStrikeAI. Они позволяют автономно выполнять цепочки атак, генерировать скрипты под конкретную цель и адаптировать нагрузку. Зафиксированы попытки обхода IP-белых списков и тестовые переводы на 1 индийскую рупию перед крупными выводами. Атаки часто планируются на выходные и праздники, когда мониторинг ослаблен.
CERT-In призывает компании рассматривать кампанию как активную и эскалирующую, вести круглосуточный мониторинг и снижать пороги оповещений в периоды низкой нагрузки. Эксперты также напоминают, что методы атак развиваются быстрее, чем разовые аудиты безопасности.
