Украденной учётной записи подрядчика оказалось достаточно, чтобы начать атаку с последующим шифрованием корпоративной сети. По такой схеме российские организации атакует Citrus, ранее не описанная группировка вымогателей. Среди основных целей оказались компании финансового сектора, сельского хозяйства и розничной торговли. Для подготовки команд и скриптов преступники используют искусственный интеллект прямо во время взлома.
Citrus проникает в сети через корпоративные VPN или доступные из интернета серверы удалённого рабочего стола RDP. Во всех известных исследователям случаях учётные записи подрядчиков имели очень ограниченные права. Чтобы расширить доступ, злоумышленники пытались использовать уязвимости Windows и ошибки настройки серверов «1С:Предприятие».
Внутри сети атакующие запускают встроенные инструменты Windows и PowerShell. Специалисты обнаружили команды для отключения учётной записи администратора и скрипты для поиска активных пользовательских сеансов. Характерные поясняющие комментарии в коде позволили исследователям предположить участие больших языковых моделей: преступники редко сопровождают команды подробными объяснениями.
Для скрытой связи с управляющими серверами Citrus применяет Xray и туннели VLESS. В сочетании с технологией REALITY настройки маскируют соединения под обычный HTTPS-трафик к сервисам «Яндекса». Для удалённого управления компьютерами группа также устанавливает AnyDesk в тихом режиме.
Злоумышленники удаляют инструменты, очищают историю команд и иногда журналы событий, а вредоносные файлы маскируют под легитимные программы. Получив необходимые права, атакующие отключают защитное ПО, в том числе через централизованные консоли управления. Часть файлов и заданий Citrus называет так, чтобы создать видимость установки продуктов «Лаборатории Касперского».
Перед шифрованием преступники собирают данные мессенджеров, архивируют добычу с помощью 7-Zip и выгружают во внешний веб-сервис. Названия каталогов и архивов указывают на возможную кражу содержимого папки tdata клиента Telegram Desktop, где хранятся ключи авторизации и сведения о сеансах.
Затем Citrus запускает написанный на Go шифровальщик Sn00py, который обрабатывает пользовательские файлы Windows и добавляет расширение .citrus. Согласно техническому разбору, расшифровать файлы без закрытого ключа преступников пока невозможно. В записке вымогатели отводят жертве 72 часа на установление связи и угрожают публикацией украденной информации.
Для массового запуска шифровальщика группа использует групповые политики Windows, позволяющие централизованно управлять компьютерами организации. Контроллеры домена, через которые распространяются вредоносные настройки, программа исключает из шифрования, чтобы сохранить работоспособность механизма доставки.
Исследователи предполагают, что Sn00py распространяют по модели RaaS, или «шифровальщик как услуга»: участники атак получают готовую программу вместо самостоятельной разработки. Специалист «Лаборатории Касперского» Станислав Ларинский связывает масштаб последствий с недостаточным контролем доступа подрядчиков: даже ограниченные права могут стать отправной точкой для полномасштабного взлома.
