CERT-IN: CRAFTY FALCON, attacchi assistiti da AI contro le fintech indiane nei weekend

• CERT-IN segnala una escalation di attacchi del gruppo CRAFTY FALCON, assistito da AI, contro il settore finanziario
• Bersagli: prestiti digitali, fintech, pagamenti, wallet; alcune vittime ricolpite dopo bonifiche incomplete
• Attacchi in weekend e festività; furti via API di pagamento e svuotamento di wallet crypto
• Consigliati logging, monitoraggio 24×7, test fuori da internet e accesso cloud limitato

Il CERT nazionale indiano, CERT-IN, ha diffuso un aggiornamento al suo avviso di ottobre sugli attacchi contro il settore finanziario del Paese. Parla di una «significativa escalation» di azioni attribuite a un attore che definisce «AI-assisted financial threat actor» e ha battezzato CRAFTY FALCON. L’aggiornamento è uscito giovedì.

Chi viene colpito

L’avviso iniziale era rivolto a piattaforme di prestito digitale, fintech, fornitori di servizi di pagamento e operatori di wallet. Nel testo compaiono anche banche, servizi finanziari e assicurazioni, ma le segnalazioni riguardano solo le categorie citate. Il gruppo prende di mira applicazioni esposte a internet, API esposte ed endpoint privilegiati. Se riesce a entrare, usa le API di pagamento per sottrarre denaro.

Secondo il CERT, alcune organizzazioni sono state attaccate di nuovo dopo aver tentato di risanare i sistemi. Le stesse entità sono state colpite «deliberatamente», anche dopo bonifiche incomplete. Gli attacchi sono inoltre cronometrati su festività, weekend e altre finestre di scarso monitoraggio, per ritardare rilevamento e risposta.

Tecniche e strumenti

CRAFTY FALCON usa strumenti potenziati dall’AI: il tool di penetration testing ARTEX, il motore di ricerca per attacchi Cairn e il framework CyberStrikeAI. Il CERT li collega a utenti che sembrano di lingua cinese.

• Cerca ambienti di test o sviluppo esposti, dove trova credenziali condivise, token o percorsi di rete utili per arrivare ai sistemi di produzione.
• Una volta dentro, riscrive le applicazioni della vittima in modo che eseguano, per esempio, chiamate API non autorizzate. Le difese presumono che solo app legittime usino quelle API, quindi l’attività non viene segnalata come attacco.
• Crea molte varianti «funzionalmente identiche» in rapida successione. Per il CERT è un andamento coerente con codice generato e sviluppo iterativo assistiti da AI.
• Sfrutta rapidamente vulnerabilità appena scoperte.
• Testa l’accesso con pagamenti da circa 0,01 dollari, poi passa a importi maggiori. Contro exchange di criptovalute e fornitori di servizi su asset virtuali sottrae le chiavi dei wallet e li svuota.

Cosa raccomanda il CERT-IN

• Migliorare la registrazione degli eventi (logging), il monitoraggio delle anomalie in tempo reale e gli alert.
• Non esporre a internet gli ambienti di test.
• Limitare l’accesso alle risorse cloud, che il gruppo usa per condurre gli attacchi.
• Garantire un monitoraggio 24×7, perché gli attacchi sono «attivi e in escalation».

Secondo l’autore della fonte, l’India ha migliaia di banche, molte piccole e talvolta prive di protezioni di base. Questo offrirebbe a CRAFTY FALCON ampio margine per estendere le attività.

Fonte: theregister · Foto: theregister