حمله هکرهای مجهز به هوش مصنوعی به شرکت‌های فین‌تک هند در تعطیلات آخر هفته

تیم واکنش اضطراری رایانه‌ای هند (CERT-In) به بخش خدمات مالی این کشور درباره «تشدید چشمگیر» حملات یک گروه تهدید سایبری مجهز به هوش مصنوعی هشدار داده است؛ مهاجمانی که حتی قربانیان را پس از تلاش‌های ناموفق در برطرف کردن رخنه‌های امنیتی، دوباره هدف حمله قرار داده‌اند.

این مرکز نخستین بار در ماه اکتبر این حملات را شناسایی و با انتشار یک هشدارنامه امنیتی اعلام کرد که پلتفرم‌های وام‌دهی دیجیتال، شرکت‌های فین‌تک، ارائه‌دهندگان خدمات پرداخت و گردانندگان کیف‌پول‌های الکترونیکی در معرض خطر قرار دارند. هکرها در این حملات برنامه‌های متصل به اینترنت، رابط‌های برنامه‌نویسی کاربردی (API) محافظت‌نشده و نقاط پایانی با دسترسی ویژه را هدف می‌گیرند و در صورت نفوذ، با سوءاستفاده از APIهای پرداخت اقدام به سرقت پول می‌کنند.

مرکز CERT-In روز پنجشنبه با انتشار یک به‌روزرسانی تازه گزارش داد که دریافت گزارش‌ها پیرامون حملات موفق همچنان ادامه دارد؛ رویدادهایی که حتی مجموعه‌هایی را شامل می‌شود که پیش‌تر تلاش کرده بودند آسیب‌پذیری‌های سیستم خود را ترمیم کنند.

این نهاد امنیتی هشدار داد: «قربانیان قبلی، به‌ویژه پس از اقدامات ناقص در برطرف‌سازی رخنه‌ها، مجدداً به شکلی هدفمند هدف حمله قرار گرفته‌اند. علاوه بر این، زمان‌بندی حملات با تعطیلات رسمی، آخر هفته‌ها و سایر بازه‌های زمانی با نظارت امنیتی حداقلی هماهنگ شده است تا فرایند شناسایی و واکنش به تأخیر بیفتد.»

مرکز CERT-In این گروه نفوذگر را CRAFTY FALCON نام‌گذاری کرده است.

این سازمان امنیتی هم‌چنین فاش کرد که این گروه از ابزارهای ارتقایافته با هوش مصنوعی بهره می‌برد؛ ابزارهایی مانند ابزار تست نفوذ ARTEX، موتور جستجوی حملات Cairn و فریمورک CyberStrikeAI که همگی بر اساس شواهد با گروه‌هایی مرتبط هستند که ظاهراً به زبان چینی تکلم می‌کنند.

تاکتیک گروه CRAFTY FALCON به این صورت است که ابتدا محیط‌های توسعه و تست نرم‌افزار را که بدون تدابیر لازم در بستر اینترنت رها شده‌اند، جستجو می‌کند. مهاجمان در این محیط‌ها ردپاها و اطلاعات مهمی مانند نام کاربری و رمزهای عبور مشترک، توکن‌های دسترسی یا مسیرهای شبکه‌ای را می‌یابند و از آن‌ها به‌عنوان پلی برای نفوذ به سیستم‌های عملیاتی اصلی استفاده می‌کنند.

این هکرها پس از ورود به سامانه، کدهای برنامه‌های سازمان قربانی را به‌گونه‌ای بازنویسی می‌کنند که اقداماتی غیرمجاز نظیر فراخوانی پنهانی APIها را انجام دهند. از آنجا که سامانه‌های دفاعی فرض می‌کنند تنها نرم‌افزارهای مجاز و رسمی این APIها را صدا می‌زنند، فعالیت‌های ناشی از کدهای بازنویسی‌شده به‌عنوان حمله شناسایی نمی‌شوند و زنگ خطری به صدا درنمی‌آید.

حتی اگر قربانیان متوجه وقوع حمله شوند، مهار آن کار بسیار دشواری خواهد بود؛ زیرا بنا بر گزارش CERT-In، این گروه در فواصل زمانی بسیار کوتاه، نسخه‌های متعددی از بدافزار را با عملکرد یکسان بازتولید می‌کند. این الگو کاملاً با رفتار کدهای تولیدشده توسط هوش مصنوعی و فرآیند بازآفرینی پیاپی نرم‌افزار با دستیارهای هوشمند مطابقت دارد.

مهاجمان هم‌چنین به‌سرعت از آسیب‌پذیری‌های تازه‌کشف‌شده برای به‌روز نگه داشتن سازوکارهای نفوذ خود سوءاستفاده می‌کنند.

این گروه نفوذگر پس از تثبیت جای پای خود، ابتدا تراکنش‌های مالی بسیار کوچکی در حدود ۰٫۰۱ دلار انجام می‌دهد تا مطمئن شود دسترسی‌های نفوذ به‌درستی کار می‌کنند. در صورت موفقیت‌آمیز بودن این تراکنش‌ها، مبالغ بسیار بزرگ‌تری جابه‌جا می‌شوند. چنانچه هدف حمله صرافی ارز دیجیتال یا ارائه‌دهنده خدمات دارایی‌های مجازی باشد، مهاجمان با سرقت کلیدهای خصوصی، کیف‌پول‌های رمزارز را به‌طور کامل تخلیه می‌کنند.

شرکت‌های ارائه‌دهنده ابزارهای پایش و رصدپذیری سیستم‌ها اکنون فرصت کم‌نظیری در بازار هند به دست آورده‌اند؛ زیرا توصیه‌های رسمی مرکز CERT-In به کسب‌وکارهای هندی شامل ارتقای سیستم‌های ثبت وقایع (لاگینگ)، پایش بی‌درنگ ناهنجاری‌ها و ارسال هشدارهای فوری است. این مرکز هم‌چنین بر قطع دسترسی عمومی اینترنت به محیط‌های آزمایشی و محدود کردن دسترسی به منابع ابری تأکید کرد، زیرا گروه CRAFTY FALCON از این زیرساخت‌ها برای پیشبرد حملات خود استفاده می‌کند.

مرکز CERT-In هشدار می‌دهد که این حملات همچنان «فعال و رو به افزایش» هستند و نیازمند پایش و نظارت شبانه‌روزی در تمام طول هفته خواهند بود.

نکته درخور توجه این است که هشدارنامه این مرکز به حملات علیه نهادهای مختلف در حوزه‌های بانکداری، خدمات مالی و بیمه اشاره دارد، اما تنها کسب‌وکارهای نام‌برده در بالا گزارش وقوع حمله را ثبت کرده‌اند.

این موضوع از آن جهت اهمیت دارد که هند میزبان هزاران بانک و مؤسسه مالی است که بسیاری از آن‌ها فعالیت محدودی دارند و گاه فاقد ابتدایی‌ترین محافظت‌های امنیت اطلاعات هستند؛ از این رو اگر گروه CRAFTY FALCON دامنه فعالیت‌های خود را گسترش دهد، با انبوهی از اهداف آسیب‌پذیر در این کشور روبه‌رو خواهد بود.