«Лаборатория Касперского» обнаружила новую группу шифровальщиков Citrus, которая атакует российские организации — преимущественно в финансовом секторе, сельском хозяйстве и ретейле. Злоумышленники работают с Windows-системами в корпоративных средах.
В сеть они попадают через украденные учётные данные сотрудников подрядных организаций: подключаются к сервисам удалённого доступа или напрямую к терминальным серверам по протоколу RDP. Внутри сети группа использует встроенные инструменты Windows и PowerShell, в том числе скрипты и команды, сгенерированные большими языковыми моделями, — например, для отключения учётных записей администраторов.
Чтобы избежать обнаружения, злоумышленники удаляют свои инструменты и файлы с результатами работы, очищают историю команд и иногда журналы событий, а вредоносные файлы маскируют под легитимные программы.
Сначала группа собирает информацию из мессенджеров на доступных системах, архивирует её через 7-Zip и выгружает на внешний веб-сервис, затем запускает шифровальщик Sn00py на языке Go. Программа шифрует пользовательские файлы и добавляет расширение.citrus; предположительно, она распространяется по модели «шифровальщик как услуга». Эксперты также нашли сходство в тактиках и инструментах Citrus с группой Toy Ghouls, нацеленной на Россию.
Для защиты специалисты советуют ограничивать права доступа, использовать принцип нулевого доверия и управление учётными записями, обучать сотрудников кибербезопасности и хранить резервные копии в двух местах — в облаке и на физическом носителе.