Новая группа шифровальщиков Citrus атаковала российские организации через подрядчиков
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- СУБД в эпоху ИИ
- КИИ в облаке
- 10 лет российского бэкапа
- SDN: Сеть как дом
- История облаков
- 30 лет ERP России
- Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- ИТ-бизнес
- Рейтинги
|
«Лаборатория Касперского» сообщает о новой группе шифровальщиков Citrus, атакующей российские организации, преимущественно в финсекторе, сельском хозяйстве и ретейле. Злоумышленники нацелены на Windows-системы в корпоративных средах и проникают в инфраструктуру через скомпрометированные учётные записи подрядчиков. Отличительная черта группы — активное использование скриптов и команд, сгенерированных с помощью больших языковых моделей. Об этом CNews сообщили представители «Лаборатории Касперского».
Как Citrus проникает в сеть. Первоначальный доступ злоумышленники получают через украденные учётные данные сотрудников подрядных организаций. Таким образом атакующие подключаются к корпоративным сервисам удалённого доступа или напрямую к терминальным серверам по протоколу Remote Desktop Protocol (RDP). Оказавшись внутри сети, группа использует встроенные инструменты Windows и PowerShell. Эксперты установили, что атакующие запускают PowerShell-сценарии, пакетные файлы и команды, сгенерированные языковыми моделями. Помимо отдельных команд, Citrus создаёт с помощью ИИ целые скрипты — например, для отключения учётных записей администраторов.
Маскировка под легитимное ПО. Чтобы избежать обнаружения, группа удаляет инструменты и файлы с результатами своей работы, очищает историю команд, а в ряде случаев — журналы событий. Кроме того, злоумышленники маскируют вредоносные файлы под легитимные программы.
Кража данных и шифрование. Сначала атакующие собирают информацию из мессенджеров на доступных системах, архивируют её с помощью 7-Zip и выгружают на внешний веб-сервис. Затем они применяют шифровальщик семейства Sn00py, написанный на языке Go. Программа шифрует пользовательские файлы и добавляет к ним расширение .citrus. Предположительно, программа-шифровальщик распространяется по модели «шифровальщик как услуга» (Ransomware-as-a-Service).
В ходе анализа эксперты также выявили сходства в тактиках и инструментах Citrus с другой группой злоумышленников, нацеленной на Россию, — Toy Ghouls: обе используют шифрование систем и схожий набор утилит.
«Citrus примечательна прежде всего тем, что злоумышленники задействуют искусственный интеллект прямо в процессе атаки. В исследованных нами инцидентах группа получала первоначальный доступ к инфраструктуре жертв с использованием учётных записей подрядчиков, повышала привилегии и разворачивала шифровальщик на уровне домена. Это наглядно показывает, что даже минимальный доступ подрядчика может обернуться полномасштабной компрометацией без должного контроля и мониторинга», — сказал Станислав Ларинский, специалист глобальной команды «Лаборатории Касперского» по реагированию на киберинциденты.
Чтобы защитить компанию от подобных угроз, эксперты «Лаборатории Касперского» рекомендуют: внедрять превентивные технологические меры, такие как принцип наименьших привилегий, принцип нулевого доверия, зрелую систему управления учётными записями, чтобы сократить ущерб в случае компрометации подрядчика; предоставлять ИБ-специалистам доступ к свежей информации о новейших тактиках, техниках и процедурах злоумышленников; проводить обучающие тренинги для сотрудников по кибербезопасности; применять решение для комплексной защиты всей ИТ-инфраструктуры; регулярно создавать резервные копии важных файлов и хранить их в двух экземплярах: в облаке и на физическом носителе — портативном жёстком диске, USB-накопителе или отдельном устройстве.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.