CRAFTY FALCON tấn công fintech Ấn Độ vào cuối tuần
"CERT-IN has warned Indian financial services of a 'significant escalation' in attacks by the AI-assisted threat actor 'CRAFTY FALCON'. The actor targets internet-facing applications, APIs, and endpoints, particularly on weekends and holidays, and re-targets victims even after remediation attempts. They utilize AI-enhanced tools like ARTEX, Cairn, and CyberStrikeAI to exploit vulnerabilities and steal funds, often testing with small transactions before larger thefts."
Các cuộc tấn công của CRAFTY FALCON sử dụng AI để tăng tốc độ và độ phức tạp, gây khó khăn cho việc phát hiện và ứng phó. Việc tái tấn công sau khi nạn nhân đã khắc phục cho thấy sự kiên trì và khả năng thích ứng cao.
Các cuộc tấn công vào các tổ chức tài chính có thể dẫn đến thiệt hại tài chính đáng kể và tổn hại uy tín. Việc nhắm mục tiêu vào các công ty fintech có thể gây ra sự gián đoạn trong các dịch vụ tài chính quan trọng.
CERT-IN cảnh báo về sự gia tăng đáng kể các cuộc tấn công do AI hỗ trợ vào các tổ chức tài chính ở Ấn Độ. Nhóm tấn công, được gọi là CRAFTY FALCON, nhắm mục tiêu vào các ứng dụng hướng internet, API và endpoint đặc biệt vào cuối tuần và ngày lễ.
CERT-IN phát hiện các cuộc tấn công này vào tháng 10 và cảnh báo các nền tảng cho vay kỹ thuật số, các công ty fintech, nhà cung cấp dịch vụ thanh toán và các nhà khai thác ví. CRAFTY FALCON cố gắng sử dụng payment API để đánh cắp tiền. Điều đáng chú ý là nhóm này tiếp tục nhắm mục tiêu vào các nạn nhân ngay cả sau khi họ đã cố gắng khắc phục sự cố.
CRAFTY FALCON sử dụng các công cụ hỗ trợ AI như ARTEX, Cairn và CyberStrikeAI để khai thác lỗ hổng và đánh cắp tiền. Chúng tìm kiếm các môi trường thử nghiệm hoặc phát triển để tìm kiếm thông tin xác thực, token hoặc đường dẫn mạng có thể giúp chúng xâm nhập vào hệ thống sản xuất. Sau khi xâm nhập, chúng sửa đổi ứng dụng của nạn nhân để thực hiện các lệnh API trái phép. CRAFTY FALCON tạo ra nhiều biến thể chức năng giống hệt nhau một cách nhanh chóng, phù hợp với mã được tạo bởi AI và phát triển hỗ trợ AI lặp đi lặp lại.
Chúng cũng kiểm tra các lỗ hổng mới được phát hiện để duy trì tính hiệu quả của cuộc tấn công. CRAFTY FALCON bắt đầu bằng các khoản thanh toán nhỏ (khoảng 0,01 đô la) để xác minh xem các cuộc tấn công có thành công hay không. Nếu thành công, chúng sẽ thực hiện các khoản thanh toán lớn hơn. Khi nhắm mục tiêu vào sàn giao dịch tiền điện tử, chúng đánh cắp wallet key và làm trống ví tiền điện tử. CERT-IN khuyến nghị cải thiện khả năng ghi nhật ký sự kiện, giám sát các bất thường theo thời gian thực và gửi cảnh báo. Họ cũng khuyên nên giữ các môi trường thử nghiệm ngoài internet và hạn chế quyền truy cập vào tài nguyên đám mây.
CERT-IN nhấn mạnh rằng các cuộc tấn công này đang diễn ra và leo thang, do đó cần giám sát 24/7.
Câu hỏi thường gặp
CRAFTY FALCON sử dụng những công cụ nào?
CRAFTY FALCON sử dụng các công cụ hỗ trợ AI như ARTEX, Cairn và CyberStrikeAI để tìm kiếm lỗ hổng và thực hiện các cuộc tấn công.
Thời điểm nào CRAFTY FALCON thường tấn công?
CRAFTY FALCON thường tấn công vào cuối tuần và ngày lễ, khi việc giám sát hệ thống thường bị giảm bớt.
CRAFTY FALCON làm gì sau khi xâm nhập vào hệ thống?
Sau khi xâm nhập, CRAFTY FALCON sửa đổi ứng dụng của nạn nhân để thực hiện các lệnh API trái phép và đánh cắp tiền.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam, đặc biệt là các công ty fintech đang phát triển, cần đặc biệt lưu ý đến các chiến thuật của CRAFTY FALCON. Việc tăng cường giám sát và bảo mật API là rất quan trọng. Điều đáng chú ý là nhóm tấn công này nhắm mục tiêu vào thời điểm ít giám sát nhất, vì vậy việc đảm bảo giám sát liên tục là cần thiết. Các công ty nên xem xét sử dụng các công cụ observability để phát hiện các bất thường trong thời gian thực.