Kaspersky hat mit Citrus eine bislang unbekannte russischsprachige Ransomware-Gruppe aufgedeckt, die Windows-Systeme in Unternehmensnetzwerken angreiftund sich über kompromittierte Konten externer Dienstleister Zugang verschafft [1]. Die Sicherheitsexperten identifizierten zudem vollständige Skripte mit Kommentaren, die auf eine KI-generierte Ausgabe hindeuten. Dies lässt darauf schließen, dass die Angreifer solche Tools einsetzen, um während des Angriffs operative Komponenten zu erstellen und anzupassen. Bevor sie Dateien mithilfe einer Variante der Sn00py-Ransomware verschlüsseln, sammeln sie zudem Daten aus Messaging-Anwendungen und übertragen diese an einen externen Webdienst.
Nach Erkenntnissen der Kaspersky-Experten nutzte Citrus gestohlene Zugangsdaten externer Dienstleister, um über VPN-Dienste oder öffentlich erreichbare RDP-Server (Remote Desktop Protocol) in Unternehmensnetzwerke einzudringen. Die Angreifer setzten dabei vor allem auf integrierte Windows-Werkzeuge und PowerShell.
Die Analyse zeigt, dass die Gruppe vor allem auf integrierte Windows-Tools und PowerShell zurückgriff. Im Verlauf der Angriffe erstellten und nutzten die Cyberkriminellen PowerShell-Skripte, Batchdateien und einzelne Befehle, die offenbar mithilfe großer Sprachmodelle (Large Language Models, LLMs) generiert worden waren. Darüber hinaus identifizierten die Kaspersky-Experten vollständige Skripte mit Kommentaren, die typische Merkmale KI-generierter Inhalte aufwiesen. Dies deutet darauf hin, dass die Angreifer KI-Tools einsetzten, um Skripte und Befehle während der laufenden Angriffe zu erstellen und anzupassen.