Группа шифровальщиков Citrus атакует организации в финансовом секторе, сельском хозяйстве и розничной торговле. Вход в чужую сеть ей открывают скомпрометированные учётные записи сотрудников подрядчиков, а не уязвимости в защите самих жертв. Для заказчика это значит, что защита собственных серверов не помогает: доступ появляется со стороны партнёра.
Первоначальный доступ злоумышленники получают через подрядчиков. Они подключаются к корпоративным VPN или к терминальным серверам, открытым в интернет, по протоколу RDP - средству удалённого рабочего стола Windows. Подрядные организации держат такие подключения открытыми, чтобы удалённо обслуживать чужие системы. Прав у них обычно больше, чем нужно для конкретной задачи, и это облегчает закрепление в сети заказчика.
Внутри сети Citrus обходится встроенными средствами Windows и PowerShell - средой автоматизации, которая есть почти на каждом корпоративном компьютере. Сторонние программы для основных действий группе не нужны. По данным «Лаборатории Касперского», часть команд и целых скриптов для неё сгенерировали большие языковые модели. В коде остались подробные комментарии, каких злоумышленники обычно не оставляют. По ним исследователи и определили участие LLM.
Связь с управляющими серверами группа прячет через прокси-инструмент Xray и обратные туннели VLESS с технологией REALITY. Трафик выглядит как HTTPS-обращения к сервисам Яндекса, и отличить его от обычного сложнее. Обратные туннели позволяют управлять машинами без прямых входящих соединений. Для удалённого управления Citrus ставит AnyDesk в тихом режиме, а вредоносные файлы и задачи маскирует под продукты Касперского.
Перед шифрованием Citrus собирает данные мессенджеров, включая возможную кражу переписки из Telegram Desktop. Добычу группа складывает в архивы 7-Zip и выгружает во внешний сервис. Отдельный риск здесь несут сотрудники, которые вели переписку с рабочего компьютера. Что именно попало в руки группы у каждой организации, не раскрывается.
Затем наступает очередь шифровальщика Sn00py, написанного на Go. Файлы он закрывает стойким шифрованием и помечает собственным расширением. Расшифровка без закрытого ключа пока невозможна. Иного способа вернуть данные источник не называет.
Массовый запуск обеспечивает групповая политика Windows - механизм централизованной настройки домена. Контроллеры домена группа из шифрования исключает, чтобы механизм доставки продолжал работать. Благодаря этому шифровальщик доходит до новых машин, пока группа остаётся в сети. Компания советует заказчикам ограничивать права подрядчиков и отслеживать изменения групповых политик.
Компания предполагает, что Sn00py распространяется по модели RaaS: разработчик сдаёт шифровальщик в аренду другим группам. Исследователи отмечают сходство приёмов Citrus с группой Toy Ghouls, но пересечения инфраструктуры не подтверждают. Кто стоит за Citrus и связаны ли две группы, не установлено. Число пострадавших организаций также не называется.
Для защиты Касперский советует ограничить права подрядчиков и контролировать их удалённый доступ, а не только рабочие станции сотрудников. Отдельно стоит следить за PowerShell-скриптами с необычно подробными комментариями, изменениями групповых политик и появлением задач, маскирующихся под продукты Касперского. Если подрядчик имел доступ к VPN или RDP, при подозрении на компрометацию нужно проверить его учётные записи и сессии, а не ограничиваться сменой пароля одного сотрудника. Контроль подрядчиков должен включать не только выдачу прав, но и мониторинг их сессий. Технический разбор опубликован на Securelist.
