CERT-In объявила активной угрозой группу Crafty Falcon, атакующую финансовый сектор

По данным Infosecurity Magazine, группа автоматизирует цепочку атаки как минимум 4 инструментами для пентеста на базе ИИ — ARTEX, PentAGI, CyberStrikeAI и Cairn. Точка входа — открытые в интернет тестовые и промежуточные среды. По общим учётным данным злоумышленники переходят в рабочую систему, а затем выполняют команды через 2 сервиса AWS — Systems Manager и Lambda. Атаки приурочивают к 2-дневным выходным и праздникам, когда мониторинг слабее.

Согласно предупреждению, после 1 оповещения с ограниченной рассылкой в начале октября часть организаций была атакована повторно из-за неполного устранения уязвимостей. Среди целей не менее 4 типов организаций: цифровые кредитные платформы, платёжные компании, финтехи и криптобиржи; на биржах похищены ключи кошельков. CERT-In предложила помечать крупные переводы новому получателю, следующие за пробной операцией на 1 рупию, и ввести период ожидания для новых получателей.

Вывод о страховом ограничении такой. По данным Infosecurity, большинство прежних кампаний с этими инструментами связывали с акторами из Китая, но CERT-In в предупреждении от 4 ноября на государство не указала. Исключение атак при поддержке государства, которого Lloyd's требует с 31 марта 2023 года, может сработать, если атрибуция исходит от правительства пострадавшей страны. 1 повторно атакованная организация из-за неполного устранения может столкнуться с обвинением в небрежности по условиям полиса; это подтвердить не удалось.