Российские компании финансового сектора, сельского хозяйства и розничной торговли стали основными целями группы Citrus, о выявлении которой сообщила «Лаборатория Касперского». По данным исследователей, злоумышленники крадут информацию, а затем шифруют файлы в корпоративных сетях
Начальная точка проникновения — взломанные учётные записи работников подрядчиков. Через них преступники получают удалённый доступ, в том числе к терминальным серверам. Уже внутри сети они применяют встроенные средства операционной системы и языковые модели: последние помогают составлять команды и сценарии, в частности для отключения учётных записей администраторов
Перед запуском шифровальщика группа извлекает сведения из мессенджеров и отправляет архивы во внешний веб-сервис. Для шифрования используется программа Sn00py, написанная на языке Go: обработанные файлы получают расширение .citrus. Исследователи предполагают, что программу предоставляют другим преступникам как услугу. Чтобы затруднить расследование, атакующие стирают историю команд, а иногда и журналы событий, удаляют использованные инструменты и выдают вредоносные файлы за обычные программы
Сообщите редакции. Существенные исправления мы отмечаем в материале