Por Canuto  

CERT-In advierte que el grupo CRAFTY FALCON está intensificando sus ataques contra fintech y servicios financieros de India, con incursiones repetidas durante fines de semana y festivos. La entidad señala que los atacantes usan herramientas asistidas por IA, buscan fallas en entornos de prueba y pueden intentar robar fondos mediante API de pagos o claves de monederos cripto.
***

  • CERT-In afirma que CRAFTY FALCON volvió a atacar a organizaciones que ya habían intentado corregir incidentes previos.
  • El grupo aprovecha aplicaciones, API y sistemas de prueba expuestos, y programa parte de sus ataques para periodos de baja supervisión.
  • La entidad recomienda vigilancia continua, mejores registros de actividad y controles más estrictos sobre entornos de prueba y recursos en la nube.

CERT-In alerta por ataques de CRAFTY FALCON a fintech indias durante los fines de semana

Incursiones repetidas en periodos de baja vigilancia

El equipo de respuesta a emergencias informáticas de India, CERT-In, advirtió sobre una escalada significativa de ataques contra compañías de servicios financieros, incluidas plataformas de préstamos digitales, fintech, proveedores de pagos y operadores de monederos electrónicos. La entidad atribuye la campaña a un actor que denomina CRAFTY FALCON y afirma que sus operaciones combinan herramientas asistidas por inteligencia artificial con la búsqueda de sistemas expuestos a internet.

El organismo detectó la actividad en octubre y emitió entonces una primera advertencia para las empresas del sector. En ella señaló que los atacantes buscaban aplicaciones accesibles desde internet, interfaces de programación de aplicaciones, conocidas como API, y endpoints privilegiados, con el propósito de encontrar una vía hacia servicios que pudieran facilitar el robo de dinero.

En una actualización difundida el jueves 5 de noviembre, CERT-In indicó que continúa recibiendo reportes de ataques exitosos, incluso de organizaciones que habían tratado de remediar sus sistemas después de incidentes anteriores. Según la entidad, algunos de esos intentos de corrección quedaron incompletos y no impidieron que los mismos objetivos recibieran nuevos ataques.

El aviso destaca que el grupo programa sus incursiones para coincidir con festivos, fines de semana y otros periodos de supervisión reducida. CERT-In sostiene que esa elección busca retrasar tanto la detección como la respuesta, una táctica que puede dar a los atacantes más tiempo para explorar sistemas antes de que el equipo de seguridad retome su vigilancia habitual.

Cómo intenta entrar y moverse el grupo

La ruta de acceso descrita por CERT-In comienza con la búsqueda de entornos de desarrollo o prueba conectados a internet. Allí, CRAFTY FALCON puede encontrar credenciales compartidas, tokens u otros rastros de configuración y rutas de red que, si permanecen accesibles, le sirven para avanzar hacia sistemas de producción.

Una vez dentro, el grupo puede modificar las aplicaciones de la organización para que ejecuten llamadas API no autorizadas, según la descripción del organismo. El riesgo surge cuando las defensas confían en que solo el software legítimo hará solicitudes a esos servicios: una aplicación alterada puede parecer una fuente habitual de actividad y dificultar que los controles distingan la operación maliciosa.

La actualización también describe una producción rápida de variantes que conservan funciones similares, pero cambian de forma sucesiva. CERT-In considera que ese patrón es compatible con código generado mediante IA y con un desarrollo iterativo asistido por estas herramientas; la descripción señala una evaluación de la entidad, no una confirmación independiente sobre el origen de cada pieza de software.

Entre las herramientas que CERT-In asocia con CRAFTY FALCON aparecen ARTEX, descrita como una herramienta de pruebas de penetración, el motor de búsqueda de ataques Cairn y el framework CyberStrikeAI. El organismo agrega que esos productos han sido vinculados a usuarios que parecen comunicarse en chino, una observación que no identifica por sí sola a los responsables ni establece la nacionalidad del grupo.

Pruebas de pago y riesgo para las criptomonedas

Según el aviso, el grupo explota con rapidez vulnerabilidades recién descubiertas para mantener sus operaciones vigentes. Después de conseguir un punto de apoyo, realiza transferencias diminutas, de alrededor de USD $0,01, para comprobar si las llamadas de pago funcionan antes de intentar mover cantidades mayores.

Ese método convierte una transacción mínima en una prueba operativa, no en evidencia de que cada intento haya terminado en un robo de mayor escala. La alerta describe una secuencia en la que, si las transferencias iniciales prosperan, los atacantes pasan a pagos más grandes, aunque no ofrece un balance de pérdidas, una lista de víctimas ni montos totales sustraídos.

Para los exchanges de criptomonedas y los proveedores de servicios de activos virtuales, CERT-In advierte de un riesgo adicional: los atacantes pueden buscar las claves de los monederos y vaciar sus carteras. La alerta no menciona criptoactivos específicos ni cuantifica fondos robados, por lo que el alcance concreto de los daños en ese segmento no queda establecido en la información divulgada.

The Register informó que la recomendación de CERT-In incluye mejorar el registro de eventos, vigilar anomalías en tiempo real y enviar alertas que permitan responder con rapidez. La entidad también pide mantener los entornos de prueba fuera de internet y restringir el acceso a recursos en la nube, que, según su descripción, el grupo aprovecha para ejecutar sus operaciones.

La respuesta que recomienda CERT-In

El organismo califica la actividad como activa y en escalada, y recomienda mantener una supervisión permanente, las 24 horas del día y los siete días de la semana. Esa indicación busca reducir las brechas de cobertura que el grupo, de acuerdo con la alerta, intenta aprovechar durante fines de semana, festivos y otros periodos de baja vigilancia.

Las medidas propuestas se dirigen a distintas etapas del riesgo: limitar la exposición de sistemas de desarrollo, proteger las credenciales y tokens, restringir los accesos a la nube y reforzar la observación de las API de pago. En conjunto, apuntan a dificultar el paso desde un entorno de prueba hacia producción y a detectar actividad inusual antes de que una prueba de bajo valor se transforme en movimientos mayores.

La advertencia habla de entidades de los sectores bancario, financiero y de seguros, pero los tipos de organizaciones que enumera como fuentes de reportes son las plataformas de préstamos digitales, las fintech, los proveedores de pagos y los operadores de monederos electrónicos. No aporta nombres de compañías afectadas ni permite determinar cuántas organizaciones sufrieron intrusiones, una falta de detalle que limita la evaluación pública del alcance de la campaña.

The Register también observa que India alberga miles de bancos y que algunos operadores pequeños pueden carecer de protecciones básicas de seguridad de la información. Esa observación plantea la posibilidad de que existan más objetivos potenciales si CRAFTY FALCON amplía sus actividades, pero no significa que CERT-In haya confirmado ataques contra todos esos bancos ni que el grupo ya haya extendido su campaña a ese universo.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados