Национальное агентство Индии по кибербезопасности предупредило, что действующая при поддержке ИИ группа злоумышленников усиливает атаки на криптовалютные биржи и другие финансовые компании, включая кражу ключей криптовалютных кошельков и несанкционированный вывод средств. В сообщении Индийской группы реагирования на компьютерные чрезвычайные ситуации (CERT-In) группа названа «CRAFTY FALCON»; в нём говорится, что кампания продолжается и набирает обороты.

В опубликованном в среду предупреждении CERT-In дополняет октябрьское сообщение, прямо указывая криптовалютные биржи среди целей атак. Агентство также описало, как злоумышленники сочетают машинную разведку с автоматизированными методами эксплуатации уязвимостей, используя системы жертв — например, интерфейсы программирования приложений (API) для платежей и выплат, — чтобы переводить средства.

Главные выводы

• В обновлении своего октябрьского предупреждения CERT-In назвала злоумышленников «CRAFTY FALCON» и теперь прямо указывает, что их целями стали криптовалютные биржи.

• По данным ведомства, кампания продолжается, а подразделение CERT-In по реагированию на финансовые инциденты (CSIRT-Fin) продолжает получать сообщения об успешных атаках.

• Согласно CERT-In, злоумышленники использовали инструменты ИИ для создания и доработки сценариев атак, а также эксплуатировали уязвимые приложения и тестовые среды.

• CERT-In сообщила, что в некоторых инцидентах были задействованы похищенные ключи от криптовалютных кошельков, а средства с кошельков выводились.

• CERT-In призвала организации, находящиеся под угрозой, считать кампанию активной и усилить круглосуточный мониторинг по выходным и праздничным дням.

Почему обновление CERT-In о криптоиндустрии важно

Хотя фишинг с применением ИИ и автоматизация широко обсуждаются в кругах специалистов по кибербезопасности, последнее предупреждение CERT-In примечательно тем, что выходит за рамки общих рисков для финансового сектора и прямо указывает на криптовалютные биржи. Это важно для операторов криптосервисов, поскольку биржевые системы и системы хранения активов часто объединяют множество компонентов — управление ключами, процессы вывода средств, контроль доступа к кошелькам и сторонние сервисы. После получения первоначального доступа всё это может открыть злоумышленникам путь к серьёзному ущербу.

CERT-In сообщила, что CSIRT-Fin продолжает получать сведения об успешных атаках, в том числе на небанковские финансовые компании (NBFC) и финтех-компании, которые ранее уже получали ограниченные в распространении рекомендации и, как сообщалось, принимали меры по устранению проблем. Это может указывать на то, что принятые меры не позволили полностью закрыть конкретные уязвимости, использованные в этой кампании, либо на то, что злоумышленник адаптируется к защитным мерам.

Операции «на машинной скорости» и злоупотребление API

CERT-In описала CRAFTY FALCON как группировку, которая «изучает цели с помощью машинного интеллекта» и действует «на машинной скорости». В предупреждении также утверждается, что злоумышленники «наносят удар, вызывая API платежей и выплат самой жертвы». Это означает, что взлом не ограничивается кражей данных: он может напрямую привести к несанкционированному перемещению средств.

Помимо бирж, CERT-In перечисляет широкий круг целей: небанковские кредитные организации, платформы цифрового кредитования, финтех-компании, платёжные агрегаторы и поставщиков услуг. Такая картина соответствует модели атаки, при которой после закрепления в системе — через уязвимости, доступные извне, или использование похищенных учётных данных — преступники могут задействовать легитимные процессы внутри корпоративных систем.

Ведомство также сообщило, что злоумышленники эксплуатировали уязвимые приложения и доступные извне тестовые среды, в том числе используя общие учётные данные и токены доступа для проникновения в рабочие системы. Кроме того, CERT-In заявила, что злоумышленники атаковали облачную инфраструктуру для размещения вредоносных файлов. Это позволяет предположить, что цепочка проникновения сочетает уязвимости на уровне приложений с закреплением на уровне инфраструктуры.

Как инструменты ИИ меняют тактику злоумышленников

В предупреждении CERT-In подчёркивается, что инструменты ИИ помогали ускорять разработку возможностей для атак. По данным ведомства, злоумышленники использовали ИИ для быстрого создания и доработки сценариев атак, а также проводили обратную разработку кода приложений, чтобы создавать эксплойты, адаптированные под конкретных жертв.

CERT-In добавила, что некоторые атаки планировались на выходные и праздничные дни, чтобы отложить их обнаружение. Такой подход особенно тревожит в финансовой сфере, где в нерабочее время может быть меньше сотрудников. Ведомство также описало случаи, когда злоумышленники проводили небольшие тестовые транзакции, чтобы проверить возможность несанкционированных переводов, прежде чем переходить к более крупным суммам.

Эти элементы — автоматизация, быстрая доработка, адаптация кода и тестовые переводы — помогают понять, почему в обновлённом предупреждении CERT-In угроза характеризуется как активная и нарастающая. Даже если организация устраняет одну уязвимость, злоумышленники, способные быстро менять тактику, с большей вероятностью найдут обходные пути.

Кража ключей от кошельков и сведения, которые CERT-In не раскрыла

Говоря о криптовалютной деятельности, CERT-In сообщила, что в некоторых инцидентах были похищены ключи от криптовалютных кошельков и выведены средства. Однако ведомство не назвало конкретные криптовалютные биржи и не оценило размер убытков.

Отсутствие имён пострадавших и данных об убытках затрудняет для участников рынка непосредственную оценку рисков. Тем не менее предупреждение указывает на конкретные недостатки, которыми могут воспользоваться злоумышленники: например, слабую защиту ключей, недостаточное разделение тестовых и рабочих сред, а также недостаточный контроль за повторным использованием учётных данных и токенов доступа.

Cointelegraph сообщила, что запросила комментарии у CERT-In и нескольких компаний, связанных с криптоиндустрией, включая CoinDCX, CoinSwitch, WazirX, ZebPay и Mudrex. В исходном материале не приводятся дополнительные сведения о результатах этих запросов.

Рекомендации по защите: мониторинг в периоды сниженного покрытия

CERT-In рекомендовала организациям «считать эту кампанию активной и набирающей обороты». Ведомство советует укреплять операционную безопасность, в том числе вести усиленный круглосуточный мониторинг. CERT-In также призвала увеличить число дежурных сотрудников и снизить порог срабатывания оповещений в праздничные дни, выходные и другие периоды ограниченного покрытия — именно на такое время, по данным ведомства, злоумышленники могли планировать свои действия, чтобы избежать раннего обнаружения.

Предупреждение подчёркивает более широкую проблему, с которой сталкиваются и традиционный финансовый сектор, и криптоинфраструктура: команды безопасности должны реагировать быстрее, чем злоумышленники успевают проводить разведку и адаптироваться. Ранее Cointelegraph приводила слова директора по информационной безопасности Solana Foundation Майкла Коутса, который заявил, что защитникам нужен доступ к самым мощным инструментам ИИ, поскольку такие инструменты будут и у злоумышленников. Кроме того, в июле руководитель отдела политики TRM Labs Ари Редборд рассказал Cointelegraph, что по мере развития угроз методы атак могут опережать возможности отдельного аудита безопасности.

Инвесторам и операторам стоит следить за тем, приведут ли рекомендации CERT-In к конкретным изменениям в мерах контроля на этапах вывода средств с бирж и управления кошельками — особенно в вопросах доступа к ключам, разрешений API, разделения сред и скорости обнаружения аномалий в периоды снижения покрытия по выходным и праздникам.

Изначально эта статья была опубликована под заголовком «Индия предупреждает: хакеры, использующие ИИ, массово атакуют криптовалютные биржи» на сайте Crypto Breaking News — вашем надёжном источнике новостей о криптовалютах, биткоине и блокчейне.