Индийское агентство по реагированию на компьютерные инциденты (CERT-In) предупредило о растущей волне кибератак, которые ведёт группировка с помощью искусственного интеллекта. Цели — крипто-биржи и финансовые компании. Злоумышленники похищают ключи кошельков и выводят средства, действуя с невиданной ранее скоростью.
Агентство назвало группировку CRAFTY FALCON и впервые явно указало на криптовалютные биржи в списке поражённых целей. О кампании CERT-In впервые сообщило в октябре, но тогда угроза не была чётко связана с крипто-сектором. Теперь описаны конкретные инструменты атак на основе ИИ.
Как работают атаки
По данным CERT-In, напасть на цель начинается с разведки с помощью ИИ. Система находит уязвимые приложения и открытые тестовые среды, а затем использует скомпрометированные учётные данные и токены доступа, чтобы проникнуть в основные системы. Облачная инфраструктура становится плацдармом для развёртывания вредоносных файлов.
ИИ-инструменты позволяют атакующим быстро генерировать и совершенствовать скрипты атак. Злоумышленники разбирают код приложений и создают на его основе точные уязвимости. Время атак часто выбирают намеренно — выходные и праздники, когда менее вероятна оперативная реакция защиты.
В некоторых случаях преступники сначала проводят пробные переводы малых сумм, чтобы убедиться, что несанкционированные операции пройдут. Только после этого движут крупные объёмы. CERT-In зафиксировала также кражи приватных ключей от кошельков и полное опустошение счётов.
Масштаб и реакция
Мишени CRAFTY FALCON — микрофинансовые организации, платформы цифрового кредитования, финтех-компании, агрегаторы платежей, поставщики услуг и криптовалютные биржи. Агентство не назвало конкретные поражённые биржи и не оценило объём убытков.
CERT-In заявило, что кампания остаётся активной. Организация продолжает получать сообщения об успешных атаках, в том числе от финансовых компаний, которые уже получали предыдущие закрытые рекомендации и проводили противодействие.
Агентство рекомендовало компаниям усилить мониторинг безопасности круглосуточно с повышенным штатом и пониженным порогом срабатывания алертов в периоды низкой активности — выходные, праздники, ночные часы.
«Угроза активна и развивается. Кампания подтверждает, что скорость атак на финансовый сектор превосходит возможности стандартного реагирования»
В октябре компания CrowdStrike обнаружила аналогичную кампанию неизвестной группировки, которая для атак на южнокорейские финансовые компании использовала инструмент ARTEX для тестирования уязвимостей, Claude Code и другие модели ИИ. Название ARTEX совпадает с инструментом, упомянутым в рекомендациях CERT-In.
Майкл Коатс, руководитель безопасности Solana Foundation, отметил, что легальные команды безопасности должны иметь доступ к самым передовым ИИ-инструментам. «Нужно убедиться, что самые мощные модели попадают в руки защитников, потому что у нападающих они будут в любом случае», — сказал он.