「Citrus」と名乗る新たなグループが、Windowsネットワークへの攻撃を展開しています。通常のWebトラフィックに見せかけたトンネル、AIが作成したスクリプト、そしてSn00pyファミリーのランサムウェアを使用しているのが特徴です。
研究者によると、このグループは主によく知られたツールに依存しているため、早期に検出できる可能性があります。Citrusは委託業者を経由して侵入します。委託先スタッフのログイン情報を盗み、それを使って企業のVPNに接続したり、公開されているターミナルサーバーにRDPでアクセスしたりします。
攻撃者はWindowsのコマンドプロンプトやPowerShellでコマンドを実行します。多くのコマンドやスクリプト全体がAIによって作成されたように見えます。攻撃者がほとんど書かない、整った注釈コメントが付いているためです。
あるスクリプトは、ドメイン内のシステムで有効なユーザーセッションを一覧表示します。このグループはまた、Impacketのツールatexecでスケジュールタスクを作成し、1C-Shellで1C:Enterpriseサーバー上のコマンドを実行します。
委託業者のアカウントには権限がほとんどないため、Citrusはさらなる権限の獲得を試みます。「Certighost」として知られるCVE-2026-54121の悪用も試みました。
このActive Directory証明書サービスの脆弱性により、攻撃者はドメインコントローラーを含む、ドメイン内の任意のコンピューターアカウントの証明書を取得できます。
Microsoftは2026年7月14日にこの脆弱性を修正しました。攻撃の痕跡として、「GHOST」にランダムな英字8文字を続けた名前のマシンアカウントが残されていました。このグループは、Metasploitで公開されているCVE-2020-1337のエクスプロイトも使用しています。これはPrint Spoolerの権限昇格の脆弱性で、深刻度は7.8（High）と評価されています。
設定に不備のある1Cサーバーも標的にします。Kaspersky（カスペルスキー）によると、管理者が1Cクラスターのコンソールをログインなしで開放したり、ユーザーのパスワードを空のままにしたりしているケースが多いといいます。
Citrusはwevtutilでイベントログを消去し、自らのツールを削除します。また、KasperskyGPO_Deploy_64.exeのような名前をファイルに付けます。Kasperskyは、こうした偽の名前が検出の回避に役立つわけではないと指摘しています。
このグループは、ホスト上のウイルス対策ソフトを無効化します。さらに、中央のセキュリティコンソールを攻撃して多数のマシンの保護を一度にオフにし、自らのツールを除外リストに追加します。
ランサムウェアのSn00pyはGo言語で書かれています。システムファイルは対象外とし、ユーザーファイルをRSA-2048とChaCha20で暗号化して、拡張子「.citrus」を付けます。
ポリシーの拡散を継続させるため、ドメインコントローラーのDC01〜DC04は暗号化の対象から外します。ランサムノートのCITRUS_README.txtを残し、被害者に72時間以内の連絡を求めます。攻撃者の秘密鍵がなければ、復号はできません。
Citrusは、Toy Ghoulsグループと戦術を共有しています。両者ともロシア語圏のグループで、ロシア企業のみを攻撃し、同じ被害者を狙うこともあります。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/citrus-ransomware-disables-antivirus/
