Traducido con IA del original en ruso.
Los ciberdelincuentes roban datos corporativos y distribuyen el ransomware Sn00py
En Rusia se ha identificado un nuevo grupo de ransomware, Citrus, que ataca redes corporativas principalmente en los sectores financiero, agrícola y minorista. Según datos de Kaspersky Lab, los ciberdelincuentes se infiltran en la infraestructura de las empresas a través de credenciales robadas de empleados de contratistas. La particularidad de estos ataques ha sido el uso de inteligencia artificial directamente durante la intrusión.
Para acceder a los sistemas corporativos, los atacantes utilizan conexiones remotas y el protocolo RDP. Una vez afianzados en la red, emplean herramientas nativas de Windows y PowerShell, y generan comandos y scripts completos con la ayuda de modelos de lenguaje de gran tamaño. En particular, la IA ayuda a crear secuencias de comandos para deshabilitar cuentas de administradores.
Para ocultar su presencia, Citrus elimina archivos y herramientas de trabajo, borra el historial de comandos y los registros de eventos, y camufla el malware como software legítimo.
Antes de proceder al cifrado, los atacantes recopilan datos de aplicaciones de mensajería, los comprimen con 7-Zip y los envían a recursos externos. A continuación, ejecutan el ransomware Sn00py, desarrollado en Go, que bloquea los archivos de los usuarios y les añade la extensión .citrus. Se presume que el malware se distribuye bajo el modelo de Ransomware-as-a-Service.
Los investigadores también han detectado similitudes entre los métodos de Citrus y los del grupo Toy Ghouls, observado anteriormente en ataques contra organizaciones rusas. Los especialistas recomiendan a las empresas limitar los privilegios de los contratistas, controlar el acceso remoto y realizar copias de seguridad de los datos de forma periódica.
