El CERT de India advirtió sobre Crafty Falcon, un grupo de ciberdelincuentes que utiliza herramientas de IA para atacar el sector financiero y robar fondos mediante APIs. Los atacantes explotan entornos de prueba vulnerables y reescriben aplicaciones para evadir detecciones, atacando repetidamente a quienes no remediaron sus fallos. Se recomienda monitoreo constante y restringir el acceso a recursos en la nube para mitigar este riesgo creciente.





El Equipo de Respuesta a Emergencias Informáticas de la India ha advertido a la industria de servicios financieros del país sobre una "escalada significativa" de ataques por parte de lo que describe como un "actor de amenazas financieras asistido por IA" que ha vuelto a atacar a víctimas después de que estas fallaran en sus esfuerzos de remediación.

CERT-IN detectó los ataques por primera vez en octubre y emitió un aviso en el que advertía a las plataformas de préstamos digitales, entidades fintech, proveedores de servicios de pago y operadores de billeteras que los atacantes estaban apuntando a aplicaciones orientadas a internet, API expuestas y endpoints privilegiados. Si los atacantes encontraban una vía de entrada, intentaban utilizar las API de pago para robar dinero.

El jueves, el CERT publicó una actualización en la que afirmaba que sigue teniendo noticias de ataques exitosos, incluso de organizaciones que intentaron remediar sus sistemas tras incidentes anteriores.

"Las mismas entidades han sido deliberadamente blanco de nuevos ataques, incluso después de una remediación incompleta, y los ataques han sido programados para coincidir con festivos, fines de semana y otras ventanas de baja monitorización para retrasar la detección y la respuesta", advirtió el CERT.

CERT-IN ha decidido que los atacantes necesitan un nombre y ha elegido "CRAFTY FALCON".

La organización de seguridad también ha revelado que el grupo utiliza herramientas mejoradas con IA, incluida la herramienta de pen-testing ARTEX, el motor de búsqueda de ataques Cairn y el framework CyberStrikeAI, todos los cuales han sido vinculados a usuarios que parecen hablar chino aquí.

Las tácticas de CRAFTY FALCON consisten en buscar entornos expuestos a internet utilizados para pruebas o desarrollo, donde encuentra artefactos como credenciales compartidas, tokens o rutas de red que le ayudan a trasladarse a los sistemas de producción.

Si logra entrar, el grupo reescribe las aplicaciones de las víctimas para que realicen acciones como hacer llamadas a API no autorizadas. Las defensas de las víctimas asumen que solo las aplicaciones legítimas llamarían a esas API, por lo que la actividad realizada por las aplicaciones reescritas no se marca como un ataque.

Incluso si las víctimas sospechan de un ataque, tienen mucho que gestionar porque CERT-IN afirma que CRAFTY FALCON crea muchas "variantes funcionalmente idénticas refinadas en rápida sucesión; un patrón consistente con código generado por IA y desarrollo iterativo asistido por IA".

El grupo también explota rápidamente las vulnerabilidades recién descubiertas para mantener sus ataques actualizados.

Una vez que consigue un punto de apoyo, el grupo criminal realiza pagos minúsculos de aproximadamente 0,01 dólares para comprobar si sus ataques funcionan. Si esas transferencias funcionan, CRAFTY FALCON realiza pagos mayores. Cuando el objetivo es un exchange de criptomonedas o un proveedor de servicios de activos digitales virtuales, el grupo roba las claves de las billeteras y vacía las billeteras de criptomonedas.

Los proveedores de herramientas de observabilidad estarán preparando a sus equipos de ventas en la India hoy, porque el consejo de CERT-IN para las empresas indias incluye mejorar su capacidad para registrar eventos, monitorear anomalías en tiempo real y enviar alertas. También instó a mantener los entornos de prueba fuera de internet y a restringir el acceso a los recursos en la nube porque CRAFTY FALCON es aficionado a utilizarlos para ejecutar sus ataques.

CERT-IN también advierte que los ataques están "activos y escalando" y, por lo tanto, merecen una monitorización las 24 horas del día, los 7 días de la semana.

Curiosamente, el aviso del CERT menciona ataques a "entidades" en banca, servicios financieros y seguros, pero solo nombra el tipo de negocios mencionados anteriormente como habiendo reportado ataques.

The Register señala esto porque la India es el hogar de literalmente miles de bancos, muchos de ellos operaciones pequeñas que a veces carecen de protecciones básicas de seguridad informática. Por lo tanto, CRAFTY FALCON tiene un entorno rico en objetivos en la India si decide expandir sus actividades. 

Fuente:
TheRegister