Le CERT-In alerte sur Crafty Falcon, un acteur épaulé par l'IA qui cible activement les banques et assurances indiennes.

L’agence indienne CERT-In (Indian Computer Emergency Response Team) vient de lancer une alerte. Elle suit un acteur malveillant baptisé Crafty Falcon, qui s’appuie sur l’intelligence artificielle pour mener ses attaques. Ses cibles sont des organisations de la banque, des services financiers et de l’assurance. Ces secteurs sont regroupés sous le sigle BFSI. En effet, selon l’agence, la menace est active et se poursuit.

Crafty Falcon : ce que révèle le CERT-In

Le CERT-In décrit une activité en cours, et non un incident isolé. Autrement dit, des organisations indiennes du secteur financier sont visées à l’heure actuelle. L’agence classe également cet acteur parmi les menaces assistées par l’IA.

Le secteur BFSI attire depuis longtemps les attaquants. En effet, il manipule des données sensibles et des flux financiers. Une intrusion réussie peut donc rapporter gros. Elle peut également perturber des services dont dépendent des millions de clients.

Le CERT-In est l’organisme national chargé de la réponse aux incidents de sécurité informatique en Inde. Son rôle consiste notamment à émettre des alertes et des recommandations. Par conséquent, quand il qualifie une menace d’active, les équipes de sécurité ont intérêt à réagir vite.

Des outils d’IA offensifs à la portée de tous

Le point le plus marquant concerne les moyens employés. Selon le CERT-In, Crafty Falcon utilise des outils de sécurité offensive pilotés par l’IA. Ces outils sont publiquement disponibles. Le groupe n’a donc pas besoin de développer ses propres armes.

Cette précision change la lecture du risque. D’abord, la barrière d’entrée baisse nettement. Ensuite, un acteur peu doué techniquement peut gagner en efficacité. Enfin, la défense doit composer avec des attaques plus rapides et plus faciles à reproduire.

Ces outils ont, à l’origine, une vocation légitime. Par exemple, les équipes de tests d’intrusion s’en servent pour évaluer la solidité d’un système. Cependant, rien n’empêche un attaquant de les détourner. La frontière entre usage défensif et usage offensif tient alors à l’intention de l’utilisateur.

Par conséquent, la simple détection d’un outil connu ne suffit plus toujours. Les équipes doivent surveiller les comportements anormaux. Par exemple, des balayages répétés, des tentatives d’authentification en série ou des déplacements latéraux inhabituels doivent éveiller l’attention.

Un cas ARTEX signalé en parallèle

Le titre de la publication d’origine évoque un second sujet. Il s’agit d’un produit nommé ARTEX, qui aurait été piégé par une porte dérobée. Cette dernière exposerait 62 consoles à un accès root. Autrement dit, le niveau root correspond au contrôle total d’un système.

Les éléments dont nous disposons ici restent limités. Nous ne pouvons donc pas détailler le fonctionnement de cette porte dérobée. Nous ne savons pas non plus comment elle s’est retrouvée dans le produit. Ainsi, il serait imprudent d’avancer des hypothèses sur ces points.

Toutefois, un tel scénario rappelle un risque bien connu. Un composant compromis à la source peut ouvrir un accès privilégié à de nombreux équipements à la fois. Les organisations qui déploient ce type de matériel ou de logiciel doivent donc vérifier leur exposition. Elles doivent également suivre les avis officiels à mesure qu’ils paraissent.

Recommandations face à Crafty Falcon

Le CERT-In ne détaille pas ici de mesures précises. Cependant, les bonnes pratiques classiques s’appliquent pleinement. Elles permettent de réduire la surface d’attaque, quel que soit l’outil employé par l’adversaire.

• Surveiller les journaux d’authentification et les flux réseau pour repérer les comportements automatisés.
• Appliquer rapidement les correctifs sur les systèmes exposés à Internet.
• Activer l’authentification multifacteur sur tous les accès sensibles, notamment les comptes administrateurs.
• Segmenter le réseau afin de limiter les déplacements latéraux après une intrusion.
• Inventorier les équipements et vérifier leur provenance, y compris les consoles d’administration.
• Tester ses défenses avec les mêmes familles d’outils que celles employées par les attaquants.

Par ailleurs, les équipes doivent préparer leur réponse à incident. Un plan à jour, des sauvegardes isolées et des contacts d’urgence identifiés font gagner un temps précieux. En outre, partager les indicateurs de compromission avec les autorités aide l’ensemble du secteur.

Ce qu’il faut retenir

• Le CERT-In suit Crafty Falcon, un acteur assisté par l’IA qui vise le secteur BFSI en Inde.
• De plus, l’agence juge l’activité active et en cours.
• Le groupe exploite des outils de sécurité offensive pilotés par l’IA et accessibles publiquement.
• Par ailleurs, un cas distinct mentionne un ARTEX doté d’une porte dérobée, avec 62 consoles exposées à un accès root.
• Enfin, les mesures de base restent la meilleure parade : correctifs, authentification forte, segmentation et surveillance.

Cette alerte confirme une tendance de fond. En effet, l’IA accélère les attaques et simplifie leur mise en œuvre. Les défenseurs doivent donc, eux aussi, gagner en rapidité et en visibilité.

Source : CERT-In Flags AI-Driven Attacks as Backdoored ARTEX Exposes 62 Consoles to Root Access