Тревожный сигнал: новая ИИ-угроза «Citrus» атакует российские компании
«Лаборатория Касперского» сообщает о новой группе шифровальщиков Citrus, атакующей российские организации, преимущественно в финсекторе, сельском хозяйстве и ретейле. Злоумышленники нацелены на Windows-системы в корпоративных средах и проникают в инфраструктуру через скомпрометированные учётные записи подрядчиков. Отличительная черта группы - активное использование скриптов и команд, сгенерированных с помощью больших языковых моделей.
Ситуация становится всё более напряжённой: злоумышленники получают первоначальный доступ через украденные учётные данные сотрудников подрядных организаций. Таким образом атакующие подключаются к корпоративным сервисам удалённого доступа или напрямую к терминальным серверам по протоколу Remote Desktop Protocol (RDP). Оказавшись внутри сети, группа использует встроенные инструменты Windows и PowerShell.
Эксперты установили, что атакующие запускают PowerShell-сценарии, пакетные файлы и команды, сгенерированные языковыми моделями. Помимо отдельных команд, Citrus создаёт с помощью ИИ целые скрипты - например, для отключения учётных записей администраторов.
Чтобы избежать обнаружения, группа удаляет инструменты и файлы с результатами своей работы, очищает историю команд, а в ряде случаев - журналы событий. Кроме того, злоумышленники маскируют вредоносные файлы под легитимные программы.
Сначала атакующие собирают информацию из мессенджеров на доступных системах, архивируют её с помощью 7-Zip и выгружают на внешний веб-сервис. Затем они применяют шифровальщик семейства Sn00py, написанный на языке Go. Программа шифрует пользовательские файлы и добавляет к ним расширение .citrus. Предположительно, программа-шифровальщик распространяется по модели «шифровальщик как услуга» (Ransomware-as-a-Service).
В ходе анализа эксперты также выявили сходства в тактиках и инструментах Citrus с другой группой злоумышленников, нацеленной на Россию, - Toy Ghouls: обе используют шифрование систем и схожий набор утилит.
«Citrus примечательна прежде всего тем, что злоумышленники задействуют искусственный интеллект прямо в процессе атаки. В исследованных нами инцидентах группа получала первоначальный доступ к инфраструктуре жертв с использованием учётных записей подрядчиков, повышала привилегии и разворачивала шифровальщик на уровне домена. Это наглядно показывает, что даже минимальный доступ подрядчика может обернуться полномасштабной компрометацией без должного контроля и мониторинга», - комментирует специалист глобальной команды «Лаборатории Касперского» по реагированию на киберинциденты Станислав Ларинский.
Фото: Unsplash