Группа шифровальщиков Citrus получила доступ к сетям российских организаций через скомпрометированные учётные записи подрядчиков, а затем разворачивала шифровальщик на уровне домена. Для компаний это неприятное напоминание: внешний доступ с минимальными правами может стать входной точкой для остановки бизнеса, кражи данных и шифрования рабочих файлов.
О новой активности сообщает CNews со ссылкой на исследование «Лаборатории Касперского». По данным экспертов, целью Citrus становятся главным образом организации из финансового сектора, сельского хозяйства и ретейла. Атакующие ориентируются на корпоративные Windows-среды: используют удалённый доступ к сервисам компании или напрямую подключаются к терминальным серверам по RDP.
Сценарий атаки начинается не с экзотического эксплойта, а с чужих украденных реквизитов. Если учётная запись сотрудника подрядчика имеет путь к корпоративной инфраструктуре, злоумышленники получают первую опору внутри сети. Дальше в ход идут штатные средства Windows, PowerShell, пакетные файлы и команды. Такой набор сложно назвать новым, но он опасен именно своей обыденностью: часть действий может выглядеть как работа администратора или технического специалиста.
Отдельная черта Citrus — применение больших языковых моделей прямо в операционной части атаки. Исследователи зафиксировали команды и сценарии PowerShell, созданные с помощью ИИ, а также более крупные скрипты. В частности, они могут использоваться для отключения учётных записей администраторов. Генеративные модели здесь не превращают атаку в магию, но снижают порог входа: быстрее готовятся вариации команд, автоматизация и заготовки под конкретную среду жертвы.
После закрепления в инфраструктуре злоумышленники собирают данные из доступных мессенджеров, упаковывают их архиватором 7-Zip и отправляют во внешний веб-сервис. Затем запускается шифрование. Используемая вредоносная программа относится к семейству Sn00py, написана на Go и добавляет зашифрованным пользовательским файлам расширение .citrus. Эксперты допускают, что сам шифровальщик распространяется по модели Ransomware-as-a-Service — то есть исполнители кампании могут пользоваться готовым инструментом, не разрабатывая его самостоятельно.
Перед шифрованием Citrus старается убрать следы: удаляет применённые утилиты и рабочие файлы, чистит историю команд, а иногда и журналы событий. Вредоносные компоненты маскируются под легитимное ПО. Для ИБ-команд это означает, что одного антивирусного срабатывания недостаточно: важны корреляция входов по RDP, аномалий PowerShell, архивирования данных и исходящих соединений с внешними сервисами.
«Лаборатория Касперского» также увидела сходство в тактиках и инструментах Citrus с группой Toy Ghouls, которая тоже нацеливалась на российские организации. Прямой вывод о едином операторе из этого не следует, но совпадение показывает устойчивый паттерн: атакующие комбинируют легитимные системные утилиты, похищенные учётные данные и быстро разворачиваемый шифровальщик. Такой подход не требует шумного проникновения и хорошо работает там, где доступы подрядчиков существуют годами без регулярной ревизии.
Специалист глобальной команды «Лаборатории Касперского» по реагированию на киберинциденты Станислав Ларинский подчеркнул, что в исследованных случаях атакующие начинали с подрядческих аккаунтов, повышали привилегии и разворачивали шифровальщик уже на доменном уровне. Для бизнеса это не только задача службы безопасности. Владельцам систем, закупкам и IT-руководителям нужно понимать, кто именно подключается к инфраструктуре, зачем ему нужен доступ и как быстро этот доступ можно ограничить или отозвать.
Практический минимум выглядит вполне приземлённо: выдавать подрядчикам только необходимые права, разделять их учётные записи и сегменты сети, защищать удалённый доступ многофакторной аутентификацией и вести журналирование. Нужны регулярный пересмотр активных аккаунтов, мониторинг действий с привилегиями и проверяемые резервные копии. Копия, которую никогда не пытались восстановить, в момент инцидента часто оказывается просто дорогим архивом.
Группа шифровальщиков Citrus показывает, как меняется экономика атак: ИИ помогает быстрее собирать инструменты и сценарии, но главной уязвимостью остаётся управление доступом. Чем больше подрядчиков, интеграций и удалённых подключений у компании, тем важнее относиться к каждому внешнему аккаунту как к потенциальной границе периметра — и проверять эту границу до того, как её проверят вымогатели.
