Citrus атакует российские компании через учётные записи подрядчиков
3 мин
13
Хакерская группировка Citrus проникает в сети российских организаций с помощью украденных учётных данных сотрудников их подрядчиков. Для шифрования файлов злоумышленники используют программу Sn00py, а для создания команд и сценариев — большие языковые модели. Исследователи из «Лаборатории Касперского» рассказали, что группировка применяет VLESS-туннели для маскировки трафика.
Полученные в результате взлома подрядчиков учётные данные их сотрудников позволяют хакерам подключаться к корпоративным сетям жертв по VPN или напрямую к терминальным серверам по протоколу RDP. Права учётной записи подрядчика во всех известных случаях были сильно ограничены, поэтому атакующие пытались их повысить с помощью уязвимости обхода аутентификации CVE-2026-54121 (Certighost). Её эксплуатация позволяет получить сертификат и пройти аутентификацию от имени контроллера домена. Также атакующих интересуют серверы «1С:Предприятие» с небезопасной настройкой. Команды на таких серверах хакеры выполняют через внешние обработки (1C-Shell).
При создании команд и сценариев применяются LLM. Исследователи поясняют, что на это указывают комментарии в коде, которые злоумышленники оставляют очень редко. Для горизонтального перемещения используются SSH, WinRM и RDP. Инструменты доставляются штатными средствами системы. Через certutil и BITS на хосты загружают утилиту Xray, которая создаёт обратные VLESS-туннели к серверу управления. Трафик идёт через порт 443 и маскируется под обращения к mirror.yandex.ru и yastatic.net. Для удалённого управления группировка также устанавливает AnyDesk.
Для сбора данных атакующие применяют кейлоггер peeping-tom, инструменты mimikatz и Snaffler, а также извлекают сведения из менеджеров паролей, например KeePass. Перед шифрованием они собирают информацию из мессенджера Telegram и выгружают её на внешний веб-сервис. Названия своих файлов злоумышленники маскируют под продукты «Лаборатории Касперского», антивирусную защиту отключают, журналы событий очищают, а свои инструменты добавляют в исключения.
Sn00py написан на языке Go и шифрует пользовательские файлы алгоритмами RSA-2048 и ChaCha20, присваивая им расширение .citrus. Без ключа злоумышленников расшифровка невозможна. Шифровальщик распространяется по модели Ransomware-as-a-Service. Для массового запуска хакеры используют вредоносные групповые политики. После требования выкупа жертве дают 72 часа, чтобы выйти на связь. Иначе злоумышленники угрожают опубликовать данные.
Исследователи нашли в деятельности Citrus сходства с группой Toy Ghouls. Прямых пересечений в инфраструктуре нет, но обе используют похожие инструменты и атакуют только российские компании. В ряде случаев они одновременно взламывали одну инфраструктуру. По оценке исследователей, Citrus во многом использует известные инструменты, что упрощает раннее обнаружение. Чтобы снизить риски, эксперты рекомендуют строго контролировать и разграничивать доступ подрядчиков к инфраструктуре.
