Группа Citrus распространяет шифровальщик Sn00py через групповые политики
Группа вымогателей Citrus компрометирует организации через учётные записи подрядчиков и развёртывает шифровальщик Sn00py. Исследователи также связывают Citrus с группой Toy Ghouls: у них есть общие инструменты и методы, а в некоторых инцидентах обе группы использовали одну инфраструктуру.
Доступ и выполнение команд
Для выполнения команд Citrus использует командную строку Windows, PowerShell, запланированные задачи и утилиту atexec из пакета Impacket. На серверах 1С:Предприятие группа запускает команды через 1C-Shell. В операциях также применяются команды и скрипты, созданные с помощью больших языковых моделей.
Для повышения привилегий Citrus пыталась эксплуатировать уязвимость обхода аутентификации в AD CS, обозначенную как CVE-2026-54121 (Certighost). Описанный метод включает создание учётной записи компьютера и запрос сертификата по шаблону Machine. Атрибуты сертификата при этом указывают центру сертификации на инфраструктуру под контролем злоумышленников. В другом инциденте скрипты, запускавшиеся через исполняемый файл для обеспечения постоянного доступа, содержали эксплойт для CVE-2020-1337.
Злоумышленники используют расширенные права, связанные с администрированием 1C:Enterprise, для горизонтального перемещения. Citrus отключает средства защиты с помощью групповых политик, изменений реестра и добавления исключений для антивирусного ПО. Это позволяет использовать такие инструменты, как Mimikatz.
Сбор данных и поддержание доступа
Для сбора учётных данных и секретов группа применяет модифицированную программу для перехвата нажатий клавиш Peeping Tom, Mimikatz и Snaffler. Последний ищет в сетевых общих ресурсах учётные данные, ключи SSH и токены. Citrus также анализирует данные из менеджеров паролей.
Для разведки используются fscan, ADRecon, SharpHound, запросы LDAP и net.exe. Инструменты доставляются с помощью certutil, BITS, cURL и PowerShell. Злоумышленники устанавливают Xray и настраивают обратные туннели VLESS, чтобы маскировать управляющий трафик под HTTPS. После запуска файлы конфигурации могут удаляться. Для удалённого доступа AnyDesk устанавливается в скрытом режиме.
Перед шифрованием Citrus собирает данные Telegram Desktop, в том числе файлы, связанные с сессиями. Группа архивирует их с помощью 7-Zip и загружает через Chrome.
Развёртывание Sn00py
Sn00py написан на языке Go и шифрует пользовательские файлы алгоритмами RSA-2048 и ChaCha20. Зашифрованным файлам присваивается расширение .citrus. Шифровальщик распространяется через вредоносные объекты групповой политики, созданные самораспаковывающимися архивами.
Политики планируют выполнение, активируют WinRM, отключают Windows Defender и Volume Shadow Copy, а также устанавливают на рабочий стол обои с текстом выкупа. Вредоносное ПО также размещает файлы CITRUS_README.txt.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
