L’agence indienne de cybersécurité, CERT-In, a identifié le groupe responsable d’une vague d’attaques par intelligence artificielle contre des entreprises financières. Elle l’a baptisé « Crafty Falcon » et, selon un avis du 4 novembre, a recensé quatre outils d’IA qu’il utilise.
Le groupe a ciblé des institutions financières non bancaires, des entreprises de technologie financière et des plateformes d’échange de cryptomonnaies. CERT-In a qualifié la menace d’« active et en cours » et a indiqué que les attaquants automatisent les intrusions « à une vitesse machine ».
Les quatre outils sont ARTEX, PentAGI, Cairn et CyberStrikeAI. Selon l’agence, ils sont tous disponibles sur internet et peuvent exécuter des chaînes d’attaque complètes de manière autonome, avec des ajustements en fonction de la réponse du système attaqué.
Paiements déplacés via les systèmes des victimes
Le groupe « examine ses cibles avec une intelligence machine » et déplace l’argent en utilisant les propres systèmes de paiement et de déboursement des victimes. Dans certains cas, il a analysé le code des applications pour fabriquer des attaques sur mesure et modifié des paquets d’applications pour effectuer des appels non autorisés.
Avant les transferts importants, les attaquants ont testé avec des mouvements d’une roupie (unité monétaire officielle de l’Inde). Ils ont également abusé des interfaces de règlement des commerçants et, sur les plateformes de cryptomonnaies, ils ont ciblé les clés des portefeuilles.
Les attaques se sont concentrées sur les jours fériés, les week-ends et d’autres moments de faible surveillance. Certaines entreprises ayant corrigé des vulnérabilités suite à des alertes précédentes ont été de nouveau attaquées car les réparations étaient incomplètes.
CERT-In n’a pas nommé les entreprises affectées ni indiqué le montant de l’argent perdu. Elle n’a pas non plus précisé qui se cache derrière ce groupe ni s’il bénéficie du soutien d’un État, et n’a pas fait le lien avec des incidents récents spécifiques à cette campagne.
Les liens avec la Chine et le cas de la Corée du Sud
Selon l’entreprise de cybersécurité CrowdStrike, ARTEX, un outil fabriqué en Chine, a été utilisé contre des banques sud-coréennes depuis fin septembre. L’entreprise a ajouté qu’un groupe lié à la Chine l’a employée dans une campagne d’espionnage visant plus de 200 organisations dans au moins 14 pays.
Son développeur l’a rendue privée le mois dernier, après qu’elle ait été associée aux attaques en Corée du Sud. L’Inde rejoint ainsi la liste des pays où ce type de programmes a été utilisé contre des banques.
Une série d’incidents au cours des dernières semaines
L’avertissement survient après plusieurs attaques contre des banques et des institutions financières indiennes. Reuters avait rapporté, à partir d’une plainte policière, que deux sociétés de financement basées à Mumbai avaient perdu environ 2 millions de dollars américains dans plus de 700 virements instantanés non autorisés depuis des comptes d’ICICI Bank, le troisième plus grand banque du pays, les 8 et 9 octobre.
Selon la plainte, les attaquants ont compromis les interfaces de programmation (APIs), les liens logiciels que les banques utilisent pour envoyer des instructions de déboursement de prêts aux sociétés de financement et aux entreprises de technologie financière.
L’État Bank of India, le plus grand prêteur du pays, a divulgué la fuite sur le dark web de 3 897 dossiers clients. Spandana Sphoorty Financial a signalé des débits non autorisés le 1er novembre, et AU Small Finance Bank enquête sur une possible fuite de données.
CERT-In a recommandé une surveillance 24 heures sur 24, plus de personnel, des contrôles plus stricts sur les outils d’administration dans le cloud et les environnements de test exposés à Internet, ainsi que des périodes d’attente pour les nouveaux bénéficiaires de virements. Il a également demandé de surveiller l’utilisation non autorisée d’outils de sécurité basés sur l’intelligence artificielle et de supposer que les attaquants sont déjà potentiellement présents dans les réseaux.