يصف تقرير Securelist مجموعة "Citrus" بأنها مجموعة غير موثقة سابقًا، تجمع بين عائلة برمجيات الفدية Sn00py وأنفاق الشبكة المخفية، وتستخدم، وفقًا للمحللين، الذكاء الاصطناعي لكتابة جزء من شفرتها البرمجية.
بمجرد حصول المهاجمين على الصلاحيات الكافية، يقومون بتشغيل ملف مضغوط ذاتي الاستخراج يُنشئ كائن نهج مجموعة خبيث (GPO). يقوم برنامج PowerShell النصي المُضمّن في هذا الملف بنسخ برنامج الفدية إلى مجلد SYSVOL الخاص بوحدة تحكم المجال، ويربط النهج بالمجال باستخدام الأمرَين Import-GPO وNew-GPLink، مما يضمن وصوله تلقائيًا إلى جميع أجهزة الكمبيوتر المتصلة.
يقوم هذا النهج بتثبيت ملف برنامج الفدية على كل جهاز كمبيوتر، وإنشاء مهمة مجدولة لتنفيذه بصمت دون إعادة تشغيل، وتفعيل خدمة WinRM. كما يقوم بتعديل سجل النظام لتعطيل Windows Defender (تشير Securelist إلى أن برنامج مكافحة الفيروسات لم يتفاعل عند تفعيل برنامج الفدية)، وتعطيل خدمة نسخ الظل لوحدة التخزين، وهي الآلية التي يستخدمها الويندوز لاستعادة الإصدارات السابقة من الملفات. للتخفي، يُطلق المهاجمون على السياسة اسم "Kaspersky GPO" ويُضمّنون ملفات بأسماء مثل KasperskyAgent.exe و Deploy-KasperskyGPO.ps1، مع أن كاسبرسكي تُوضح أن هذه الحيلة عديمة الجدوى لأن منتجاتها تكشف هذه الملفات وتحظرها بغض النظر عن اسمها.
يقوم برنامج الفدية، من عائلة Sn00py والمكتوب بلغة Go، بتشفير ملفات المستخدم باستخدام RSA-2048 و ChaCha20 (دون التأثير على ملفات النظام) ويُضيف الامتداد .citrus. تُمنح ملاحظة CITRUS_README.txt الضحايا 72 ساعة للتواصل مع المهاجمين، وبدون المفتاح الخاص للمهاجمين، لا توجد طريقة لاستعادة الملفات. كما يتجاوز البرنامج الخبيث قائمة مُتحكمات المجال لمواصلة نشر السياسة دون انقطاع.
كيف تتسلل مجموعة Citrus إلى الشبكة وما الأدوات التي تستخدمها؟لا تحتاج المجموعة إلى ثغرات أمنية معقدة للتسلل، فهي تستخدم بيانات اعتماد مسروقة من موظفي الشركات المتعاقدة، وتصل إلى الشبكة عبر شبكات VPN الخاصة بالشركات أو خوادم RDP المكشوفة للإنترنت. عادةً ما تتمتع هذه الحسابات بصلاحيات محدودة، يحاول المهاجمون رفعها فور وصولهم إلى شبكة الشركة المستهدفة.
ولرفع هذه الصلاحيات، استغلوا ثغرة Certighost (CVE-2026-54121)، التي تُنشئ حسابات Active Directory بأسماء تبدأ بـ GHOST، بالإضافة إلى ثغرة CVE-2020-1337 وخوادم 1C:Enterprise المُهيأة بشكل خاطئ. داخل الشبكة، يستخدمون مجموعة أدوات مألوفة: برنامج mimikatz لاستخراج كلمات المرور من الذاكرة، وبرنامج تسجيل ضغطات المفاتيح المُعدّل، وبرنامج Snaffler لفحص البيانات السرية على الموارد المشتركة. يقومون برسم خرائط الشبكة باستخدام أدوات مثل fscan وADRecon وSharpHound، ويتنقلون عبر بروتوكولات SSH وRDP وWinRM. تصل هذه الأدوات إلى أجهزة الكمبيوتر من خلال أدوات ويندوز الرسمية مثل certutil وBITS، مما يصعّب تفعيل تنبيهات الجهات الخارجية.
يتم إخفاء حركة مرور الأوامر والتحكم باستخدام برنامج Xray، الذي يفتح أنفاق VLESS عكسية على المنفذ 443 لجعل كل شيء يبدو كحركة مرور HTTPS عادية، حتى أنه يحاكي زيارات لمواقع مثل mirror.yandex.ru وyastatic.net. للتحكم عن بُعد في أجهزة الكمبيوتر، يقومون بتثبيت برنامج AnyDesk دون أن يتم اكتشافهم، وقبل تشفير أي شيء، يقومون بتشغيل برنامج نصي، steal_tgs.ps1، الذي يقوم بتجميع البيانات وسرقتها من تطبيق Telegram Desktop.
عثرت Securelist على أوامر وبرامج نصية تحتوي على تعليقات مُرتبة بشكل غير عادي، وهي تفصيلة نادرًا ما يتركها المهاجمون، مما يشير إلى استخدام قوالب لغوية لكتابة جزء من الشفرة. بناءً على الأدوات التي يتشاركونها وهجماتهم على الشركات الروسية، يربط الباحثون مجموعة Citrus بمجموعة أخرى ناطقة بالروسية، تُدعى Toy Ghouls.
إذا كنت تدير شبكة مؤسسية، توصي Securelist بتقييد وصول المتعاقدين ومراجعته، وتكوين تنبيهات لإعلامك بسياسات المجموعة الجديدة أو التغييرات التي تطرأ على سمة gPLink، وتأمين وحدات تحكم أدوات الأمان، ومراقبة أي تغييرات غير متوقعة في إعدادات Defender. ويشير التقرير نفسه إلى أن المجموعة تستخدم في المقام الأول أساليب معروفة، مما يسهل الكشف المبكر من خلال المراقبة الدقيقة للتغييرات في سياسات المجموعة.
ليست هناك تعليقات:
إرسال تعليق