گروه تهدید سایبری CRAFTY FALCON و حملات هوشمند علیه صنعت فین‌تک هند

Threat actor targets Indian fintechs on weekends when defenders aren’t watching

تیم واکنش اضطراری رایانه‌ای هند (CERT-IN) نسبت به افزایش حملات گروهی با نام CRAFTY FALCON هشدار داد که با بهره‌گیری از ابزارهای هوش مصنوعی، پلتفرم‌های مالی و فین‌تک را هدف قرار می‌دهند. این مهاجمان با سوءاستفاده از ضعف در فرآیندهای اصلاحی، حملات خود را در روزهای تعطیل و ساعات کم‌ترافیک برای کاهش احتمال شناسایی انجام می‌دهند.

جزئیات فنی و روش‌های نفوذ

گروه CRAFTY FALCON با استفاده از ابزارهای هوش مصنوعی نظیر ARTEX، موتور جستجوی حملات Cairn و چارچوب CyberStrikeAI، محیط‌های توسعه و تست متصل به اینترنت را هدف قرار می‌دهند. آن‌ها با یافتن اعتبارنامه‌های اشتراکی، توکن‌ها و مسیرهای شبکه، به سیستم‌های عملیاتی نفوذ می‌کنند.

پس از نفوذ، مهاجمان کدهای برنامه‌های قربانی را بازنویسی می‌کنند تا تماس‌های API غیرمجاز برقرار کنند. از آنجا که سیستم‌های دفاعی، این فعالیت‌ها را به عنوان رفتارهای قانونی برنامه‌های اصلی شناسایی می‌کنند، حملات شناسایی نمی‌شوند. همچنین، این گروه با تولید سریع نسخه‌های مشابه از کدهای مخرب، فرآیند شناسایی را برای تیم‌های امنیتی دشوار می‌سازند.

اهداف و نحوه سرقت مالی

این حملات عمدتاً پلتفرم‌های وام‌دهی دیجیتال، شرکت‌های فین‌تک، ارائه‌دهندگان خدمات پرداخت و کیف پول‌های دیجیتال را هدف قرار داده‌اند. مهاجمان ابتدا با تراکنش‌های بسیار کوچک (حدود ۰.۰۱ دلار) کارایی حملات خود را تست کرده و در صورت موفقیت، مبالغ بزرگ‌تری را سرقت می‌کنند. در مورد صرافی‌های ارز دیجیتال، این گروه اقدام به سرقت کلیدهای کیف پول و تخلیه موجودی آن‌ها می‌کنند.

وضعیت فعلی و هشدارهای امنیتی

CERT-IN تأکید کرده است که این حملات در حال تشدید هستند و حتی سازمان‌هایی که پس از حوادث قبلی اقدام به اصلاح سیستم‌های خود کرده بودند، مجدداً هدف قرار گرفته‌اند. این موضوع نشان‌دهنده ناکافی بودن فرآیندهای اصلاحی در برخی از این نهادها است.

نکته‌های کلیدی

• استفاده مهاجمان از ابزارهای هوش مصنوعی برای تولید کدهای مخرب و تغییرات سریع در حملات.
• زمان‌بندی حملات در تعطیلات و آخر هفته‌ها برای بهره‌برداری از کاهش نظارت امنیتی.
• هدف قرار دادن APIهای در معرض دید و نقاط پایانی دارای دسترسی‌های ویژه.
• ارتباط ابزارهای مورد استفاده مهاجمان با کاربران چینی‌زبان.
• تکرار حملات علیه قربانیانی که فرآیند اصلاح امنیتی ناقص داشته‌اند.

چه باید کرد

• استقرار سیستم‌های نظارت امنیتی ۲۴ ساعته در تمام روزهای هفته.
• بهبود قابلیت‌های ثبت وقایع (Logging) و شناسایی ناهنجاری‌ها به صورت بلادرنگ.
• قطع دسترسی محیط‌های تست و توسعه از شبکه اینترنت عمومی.
• محدودسازی دسترسی به منابع ابری که مهاجمان از آن‌ها برای اجرای حملات استفاده می‌کنند.
• بازنگری و تکمیل فرآیندهای اصلاحی پس از هر حادثه امنیتی برای جلوگیری از بازگشت مهاجمان.