В России выявили новую группировку вымогателей Citrus, атакующую корпоративные сети преимущественно в финансовом секторе, сельском хозяйстве и розничной торговле. По данным «Лаборатории Касперского», злоумышленники проникают в инфраструктуру компаний через украденные учётные записи сотрудников подрядчиков. Особенностью атак стало применение искусственного интеллекта непосредственно во время взлома.
Для доступа к корпоративным системам хакеры используют удалённые подключения и протокол RDP. Закрепившись в сети, они применяют штатные инструменты Windows и PowerShell, а также генерируют с помощью больших языковых моделей команды и целые скрипты. В частности, ИИ помогает создавать сценарии для отключения учётных записей администраторов.
Чтобы скрыть следы присутствия, Citrus удаляет рабочие файлы и инструменты, очищает историю команд и журналы событий, а вредоносные программы маскирует под легитимное ПО.
Перед шифрованием злоумышленники собирают данные из мессенджеров, архивируют их с помощью 7-Zip и отправляют на внешние ресурсы. Затем запускается шифровальщик Sn00py на языке Go, который блокирует пользовательские файлы и добавляет к ним расширение .citrus. Предположительно, вредонос распространяется по модели Ransomware-as-a-Service.
Исследователи также обнаружили сходство методов Citrus с группировкой Toy Ghouls, ранее замеченной в атаках на российские организации. Специалисты рекомендуют компаниям ограничивать привилегии подрядчиков, контролировать удалённый доступ и регулярно создавать резервные копии данных.