L'agence nationale de cybersécurité indienne, l'Indian Computer Emergency Response Team (CERT‑In), a publié un nouvel avis mercredi, avertissant qu'un acteur menaçant assisté par l'IA connu sous le nom de « Crafty Falcon » a intensifié ses attaques contre les plateformes d'échange de cryptomonnaies et d'autres prestataires de services financiers. Cet avis, qui met à jour une campagne signalée pour la première fois en octobre, décrit l'utilisation par le groupe d'outils d'apprentissage automatique pour mener des assauts rapides et automatisés, ayant entraîné le vol de clés de portefeuille et le vidage de fonds en cryptomonnaies.

Tactiques renforcées par l'IA et chaîne d'attaque

Selon l'avis de CERT‑In, Crafty Falcon exploite des outils de test d'intrusion par IA tels qu'ARTEX, ainsi que des grands modèles de langage comme Claude Code, pour scanner les cibles potentielles, rétroconcevoir le code des applications et créer des exploits sur mesure. Le groupe exploite les applications vulnérables, l'infrastructure cloud mal configurée et les identifiants partagés pour passer des environnements de test aux systèmes de production. Les scripts générés par IA permettent aux attaquants de « sonder ses cibles avec une intelligence machine, opérer à la vitesse de la machine et frapper en invoquant les propres API de paiement et de virement de la victime », a déclaré l'agence. Dans plusieurs cas, les acteurs ont effectué de petites transactions de test pour confirmer des transferts non autorisés avant d'exécuter des retraits plus importants.

Portée de la campagne

L'avis énumère les prêteurs non bancaires, les plateformes de prêt numérique, les entreprises de fintech, les agrégateurs de paiement et les plateformes d'échange de cryptomonnaies comme secteurs touchés. Bien que CERT‑In n'ait pas nommé de plateformes spécifiques ni divulgué l'impact financier, il a confirmé que des clés de portefeuille ont été compromises et des fonds détournés des portefeuilles affectés. La campagne semble caler les attaques sur les week-ends et les jours fériés, visant à échapper à la détection lorsque les effectifs de sécurité sont réduits.

Réaction de l'industrie et conseils d'atténuation

CERT‑In a exhorté les entités à risque à considérer la campagne comme active et en escalade, recommandant une surveillance de sécurité 24h/24, une augmentation des effectifs et un abaissement des seuils d'alerte pendant les périodes de faible couverture. L'agence a également conseillé aux entreprises de durcir les configurations cloud, d'appliquer une hygiène stricte des identifiants et d'isoler les environnements de test de la production. Les experts en sécurité ont relayé l'avertissement ; Michael Coates de la Solana Foundation a souligné la nécessité pour les défenseurs d'accéder aux outils d'IA les plus puissants, tandis qu'Ari Redbord de TRM Labs a averti que les techniques d'attaque dépassent désormais la capacité d'un seul audit à suivre.