Злоумышленники используют ИИ прямо во время атаки
«Лаборатория Касперского» сообщает о новой группе шифровальщиков Citrus, атакующей российские организации, преимущественно в финсекторе, сельском хозяйстве и ретейле. Злоумышленники нацелены на Windows-системы в корпоративных средах и проникают в инфраструктуру через скомпрометированные учётные записи подрядчиков. Отличительная черта группы — активное использование скриптов и команд, сгенерированных с помощью больших языковых моделей (LLM).
Как Citrus проникает в сеть. Первоначальный доступ злоумышленники получают через украденные учётные данные сотрудников подрядных организаций. Таким образом атакующие подключаются к корпоративным сервисам удалённого доступа или напрямую к терминальным серверам по протоколу Remote Desktop Protocol (RDP). Оказавшись внутри сети, группа использует встроенные инструменты Windows и PowerShell. Эксперты установили, что атакующие запускают PowerShell-сценарии, пакетные файлы и команды, сгенерированные языковыми моделями. Помимо отдельных команд, Citrus создаёт с помощью ИИ целые скрипты — например, для отключения учётных записей администраторов.
Маскировка под легитимное ПО. Чтобы избежать обнаружения, группа удаляет инструменты и файлы с результатами своей работы, очищает историю команд, а в ряде случаев — журналы событий. Кроме того, злоумышленники маскируют вредоносные файлы под легитимные программы.
Кража данных и шифрование. Сначала атакующие собирают информацию из мессенджеров на доступных системах, архивируют её с помощью 7-Zip и выгружают на внешний веб-сервис. Затем они применяют шифровальщик семейства Sn00py, написанный на языке Go. Программа шифрует пользовательские файлы и добавляет к ним расширение .citrus. Предположительно, программа-шифровальщик распространяется по модели «шифровальщик как услуга» (Ransomware-as-a-Service).
В ходе анализа эксперты также выявили сходства в тактиках и инструментах Citrus с другой группой злоумышленников, нацеленной на Россию, — Toy Ghouls: обе используют шифрование систем и схожий набор утилит.
«Citrus примечательна прежде всего тем, что злоумышленники задействуют искусственный интеллект прямо в процессе атаки. В исследованных нами инцидентах группа получала первоначальный доступ к инфраструктуре жертв с использованием учётных записей подрядчиков, повышала привилегии и разворачивала шифровальщик на уровне домена. Это наглядно показывает, что даже минимальный доступ подрядчика может обернуться полномасштабной компрометацией без должного контроля и мониторинга», — комментирует Станислав Ларинский, специалист глобальной команды «Лаборатории Касперского» по реагированию на киберинциденты.
Решения «Лаборатории Касперского» успешно обнаруживают вредоносную активность в рамках описанных атак.
Подробный отчёт опубликован на сайте Securelist.ru.
Чтобы защитить компанию от подобных угроз, эксперты «Лаборатории Касперского» рекомендуют:
- внедрять превентивные технологические меры, такие как принцип наименьших привилегий, принцип нулевого доверия, зрелую систему управления учётными записями, чтобы сократить ущерб в случае компрометации подрядчика;
- предоставлять ИБ-специалистам доступ к свежей информации о новейших тактиках, техниках и процедурах злоумышленников, например с помощью сервисов Kaspersky Threat Intelligence;
- проводить обучающие тренинги для сотрудников по кибербезопасности. Для этого можно воспользоваться онлайн-платформами, такими как Kaspersky Automated Security Awareness Platform;
- применять решение для комплексной защиты всей ИТ-инфраструктуры, например Kaspersky Symphony XDR. Это платформа многоуровневой кибербезопасности, которая объединяет возможности централизованного мониторинга и анализа информации, продвинутого обнаружения угроз и реагирования на них, а также инструменты исследования событий безопасности. Решение подходит для среднего и крупного бизнеса любой отрасли;
- использовать сервисы Kaspersky Compromise Assessment, Kaspersky Managed Detection and Response и Kaspersky Incident Response для защиты от сложных кибератак, исследования инцидентов и получения экспертной поддержки;
- регулярно создавать резервные копии важных файлов и хранить их в двух экземплярах: в облаке и на физическом носителе — портативном жёстком диске, USB-накопителе или отдельном устройстве.
О Kaspersky Security Services
Kaspersky Security Services — международная команда экспертов в области кибербезопасности. Специалисты выявляют новые тактики, техники и процедуры злоумышленников, обогащают базу знаний MITRE ATT&CK, создают собственные инструменты и совершенствуют методы детектирования в продуктах «Лаборатории Касперского». Результатами работы команда делится через вебинары, аналитические отчёты и обучающие программы.
