«Хитрый сокол» атаковал не-банкиров

Как сообщила Индийская группа реагирования на компьютерные чрезвычайные ситуации (CERT-In), небанковские финансовые организации (в том числе платформы цифрового кредитования, финтех-компании, агрегаторы платежей, поставщики платёжных услуг и биржи криптовалют) неоднократно становились жертвами атак с применением искусственного интеллекта и агентных инструментов со стороны недавно выявленного субъекта киберугроз, известного как Crafty Falcon («Хитрый сокол»).

Некоторые из пострадавших в начале октября получили предупреждение об ограничении распространения в связи с тем, что хакеры эксплуатируют программируемые интерфейсы приложений (API), необходимые для транзакций платежей. Несмотря на предпринятые меры, эти организации снова подверглись атаке, причём надзорный орган отметил неполное выполнение рекомендаций с их стороны. Кроме того, злоумышленники обычно действуют во время праздников, выходных и в «другие периоды с низким уровнем мониторинга», чтобы затруднить обнаружение и реагирование.

По данным финансового отдела CERT-In, «Хитрый сокол» представляет собой ранее недокументированную угрозу. Обычно он получает первоначальный доступ через непроизводственные среды, доступные в интернете. Оказавшись внутри, операторы переходят в производственные системы, эксплуатируя общие учётные данные, токены аутентификации или сетевые пути между средами.

Атакующие проводят реверс-инжиниринг кодовых баз приложений организации для разработки индивидуальных эксплойтов. Затем они используют изменённые или модифицированные пакеты этих приложений для инициации несанкционированных вызовов API, обходя средства контроля безопасности, которые предполагают, что только аутентичное клиентское ПО будет взаимодействовать с API.

Ещё одна характерная черта Crafty Falcon — атаки на облачную инфраструктуру жертв, включая вычислительные ресурсы, бессерверные (serverless) технологии и сервисы управления. Злоумышленники используют облачные инструменты администрирования — например, AWS Systems Manager и Lambda — для выполнения команд и развёртывания вредоносных файлов, что позволяет их действиям маскироваться под легитимные операции по управлению облачной средой.

В ходе своих операций группировка активно создаёт множество специализированных скриптов «на лету». Хакеры быстро выпускают функционально идентичные, но доработанные версии кода — такой подход характерен при итеративной разработке с применением нейросетей.

Как отмечают в CERT-In, имеющийся арсенал позволяет преступникам «автономно реализовывать полные цепочки атак на машинной скорости, оперативно генерировать и совершенствовать множество специализированных скриптов, а также адаптировать вредоносные полезные нагрузки в зависимости от реакции целевой системы».

Надзорный орган порекомендовал организациям предпринять для защиты следующие меры:

• поддержание усиленного круглосуточного мониторинга безопасности, увеличение штата сотрудников и снижение пороговых значений оповещений в праздничные дни, выходные и периоды снижения мониторинга;

• централизация мониторинга журналов в режиме реального времени и оповещение о событиях высокого риска, включая удалённое выполнение команд, обновления кода бессерверных функций и создание ролей, пользователей или ключей доступа;

• настройка корреляции SIEM для выявления атак на скорости машины, многокомпонентных атак, адаптивных изменений полезной нагрузки и непрерывной активности вне рабочего времени;

и многое другое.

Усам Оздемиров