Индийский центр кибербезопасности CERT-In 4 ноября предупредил об активной кампании взломов финансовых организаций с использованием ИИ-инструментов. Среди них — уже знакомый ARTEX. Атакующие выбирают небанковские кредитные организации, финтех-сервисы, платёжные компании и криптобиржи. Кампания получила название Crafty Falcon, а предупреждению присвоен критический уровень опасности.
Ведомство продолжило расследование атак, о которых впервые сообщило 9 октября. За прошедшее время специалисты обнаружили новые случаи проникновения, в том числе повторные взломы организаций, которые уже пытались устранить обнаруженные уязвимости.
Злоумышленники ищут слабые места в облачной инфраструктуре и корпоративных приложениях. Одним из путей проникновения становятся тестовые серверы, которые доступны из интернета и используют те же учётные данные или сетевые подключения, что и основные рабочие системы.
Получив доступ, преступники пытаются добраться до платёжных интерфейсов — API, через которые финансовые организации обмениваются командами на переводы и выдачу денег.
Для проверки доступа хакеры проводят пробные транзакции на минимальные суммы, иногда всего в одну рупию. Если система пропускает перевод, следом могут отправиться значительно более крупные суммы.
CERT-In также установил, что атаки специально приурочивают к выходным и праздникам, когда сотрудники служб безопасности работают сокращённым составом. Некоторые компании подвергались повторным нападениям после неполного устранения предыдущего взлома.
ARTEX вернулся с компанией
В предупреждении CERT-In перечислены четыре инструмента, которые используют злоумышленники:
- ARTEX — система ИИ-агентов для автоматизации поиска уязвимостей и проведения атак.
- PentAGI — платформа, которая распределяет этапы проверки безопасности между несколькими агентами.
- Cairn — инструмент поиска возможных путей проникновения.
- CyberStrikeAI — среда автоматизации кибератак с использованием ИИ.
По данным индийского ведомства, эти инструменты способны самостоятельно выполнять последовательности технических действий: исследовать систему, генерировать скрипты, проверять их и изменять при неудачах.
Цели при этом задают злоумышленники. Способность инструмента самостоятельно выполнять этапы атаки не означает, что нейросеть решила заняться преступностью по собственной инициативе.
Ранее мы рассказывали о взломе WorkOS, при котором преступники также использовали ARTEX. Тогда пострадало внутреннее приложение компании для работы с клиентами.
30 октября исследователи Google Threat Intelligence Group и Mandiant сообщили, что наблюдали использование ARTEX и других подобных инструментов в реальных атаках начиная с конца августа. Некоторые операции выполнялись за секунды: агенты быстро проверяли права доступа, пробовали разные команды и исправляли собственные ошибки.
Теперь CERT-In фиксирует применение такого инструментария против финансовой инфраструктуры Индии.
Сколько денег похитили?
Индийское ведомство не назвало пострадавшие компании и не опубликовало общую сумму ущерба от Crafty Falcon. Личности организаторов также остаются неизвестными.
Reuters сообщает, что в октябре две индийские кредитные организации лишились примерно $2 млн в результате более 700 несанкционированных переводов. Были и другие инциденты, включая утечки клиентских данных.
Однако CERT-In публично не связал эти конкретные происшествия с Crafty Falcon. Поэтому записывать $2 млн на счёт новой кампании оснований пока нет.
Специалисты ведомства рекомендуют финансовым организациям усилить круглосуточный мониторинг, особенно в праздники и выходные, проверить доступ к платёжным API и полностью обследовать системы после обнаружения взлома. Простого закрытия первоначальной уязвимости может оказаться недостаточно: злоумышленники способны сохранить другие способы доступа и вернуться.