Neue Ransomware-Gruppe kombiniert KI-generierte Skripte und Datendiebstahl

Kaspersky hat mit Citrus eine bislang unbekannte russischsprachige Ransomware-Gruppe aufgedeckt, die Windows-Systeme in Unternehmensnetzwerken angreiftund sich über kompromittierte Konten externer Dienstleister Zugang verschafft [1]. Die Sicherheitsexperten identifizierten zudem vollständige Skripte mit Kommentaren, die auf eine KI-generierte Ausgabe hindeuten. Dies lässt darauf schließen, dass die Angreifer solche Tools einsetzen, um während des Angriffs operative Komponenten zu erstellen und anzupassen. Bevor sie Dateien mithilfe einer Variante der Sn00py-Ransomware verschlüsseln, sammeln sie zudem Daten aus Messaging-Anwendungen und übertragen diese an einen externen Webdienst.

Nach Erkenntnissen der Kaspersky-Experten nutzte Citrus gestohlene Zugangsdaten externer Dienstleister, um über VPN-Dienste oder öffentlich erreichbare RDP-Server (Remote Desktop Protocol) in Unternehmensnetzwerke einzudringen. Die Angreifer setzten dabei vor allem auf integrierte Windows-Werkzeuge und PowerShell.

Die Analyse zeigt, dass die Gruppe vor allem auf integrierte Windows-Tools und PowerShell zurückgriff. Im Verlauf der Angriffe erstellten und nutzten die Cyberkriminellen PowerShell-Skripte, Batchdateien und einzelne Befehle, die offenbar mithilfe großer Sprachmodelle (Large Language Models, LLMs) generiert worden waren. Darüber hinaus identifizierten die Kaspersky-Experten vollständige Skripte mit Kommentaren, die typische Merkmale KI-generierter Inhalte aufwiesen. Dies deutet darauf hin, dass die Angreifer KI-Tools einsetzten, um Skripte und Befehle während der laufenden Angriffe zu erstellen und anzupassen.

Um ihre Spuren zu verwischen, entfernten die Angreifer anschließend eingesetzte Tools und erzeugte Dateien, löschten den Befehlsverlauf und in einigen Fällen auch Ereignisprotokolle. Zudem versahen sie ihre Tools und zugehörigen Dateien mit unverfänglich klingenden Namen und nutzten einen bekannten Markennamen, um diese legitim erscheinen zu lassen.

Datendiebstahl und Verschlüsselung mit Sn00py-Ransomware

Vor der Verschlüsselung der Dateien sammelten die Angreifer Daten aus Messaging-Anwendungen auf den zugänglichen Systemen. Diese komprimierten sie mithilfe von 7-Zip und übertrugen sie anschließend über Google Chrome an einen externen Webdienst.

Um die Ransomware möglichst breit innerhalb der kompromittierten Netzwerke zu verbreiten, nutzte Citrus selbstextrahierende Archive, PowerShell-Skripte sowie manipulierte Gruppenrichtlinienobjekte (Group Policy Objects, GPOs). Auf diese Weise konnten die Angreifer die Ransomware auf zahlreichen Systemen verteilen, geplante Aufgaben für deren Ausführung anlegen, die Fernverwaltung aktivieren, integrierte Schutzmechanismen schwächen und eine Lösegeldforderung auf den infizierten Geräten anzeigen. Zum Einsatz kam eine in der Programmiersprache Go entwickelte Variante der Ransomware-Familie Sn00py. Auf Windows-Systemen verschlüsselte die Schadsoftware Nutzerdateien und versah diese mit der Dateiendung .citrus. Nach dem Start öffnete die Malware ein Konsolenfenster und versuchte, Systemeinstellungen zu verändern. Dies deutet darauf hin, dass die Angreifer nicht nur Daten verschlüsseln, sondern auch deren Wiederherstellung sowie die Reaktion auf Sicherheitsvorfälle erschweren wollten. Bei der Untersuchung der Citrus-Aktivitäten stellten die Kaspersky-Experten zudem mehrere Parallelen zu den Taktiken, Techniken und Vorgehensweisen der Gruppe Toy Ghouls fest. Dazu zählen insbesondere die Verschlüsselung von Opfersystemen und der Einsatz ähnlicher Tools.

„Citrus zeichnet sich insbesondere dadurch aus, dass KI-generierte Inhalte offenbar direkt bei der Durchführung von Angriffen auf bereits kompromittierte Systeme zum Einsatz kommen“, erklärt Stanislav Larinsky, Experte bei Kaspersky Security Services. „In den von uns untersuchten Fällen kombinierten die Angreifer den Zugriff über Konten externer Dienstleister mit Versuchen zur Rechteausweitung und domänenweiten Angriffstechniken. Die Vorfälle verdeutlichen, wie selbst eingeschränkte Zugriffsrechte externer Dienstleister zum Einfallstor für weitreichendere Kompromittierungen werden können, wenn diese nicht streng kontrolliert und kontinuierlich überwacht werden.“

Kaspersky-Empfehlungen zum Schutz vor Ransomware

• Dateien regelmäßig sichern und mindestens zwei Sicherungskopien anlegen – beispielsweise eine in der Cloud und eine weitere auf einem physischen Speichermedium wie einer externen Festplatte oder einem USB-Stick. Die Integrität der Sicherungskopien sollte regelmäßig überprüft werden.
• Betriebssysteme, Browser, Sicherheitslösungen und andere Anwendungen regelmäßig aktualisieren, um bekannte Schwachstellen zu schließen, die von Cyberkriminellen für Angriffe ausgenutzt werden können.
• Lösungen wie Kaspersky Next [2] bieten Echtzeitschutz sowie Funktionen zur Erkennung, Untersuchung und Abwehr von Bedrohungen. Durch integrierte EDR- und XDR-Funktionen ermöglichen sie zudem eine umfassendere Transparenz über sicherheitsrelevante Aktivitäten.
• Dienste wie Kaspersky Compromise Assessment [3], Kaspersky Managed Detection and Response [4] und Kaspersky Incident Response [5] unterstützen Unternehmen dabei, schwer erkennbare Cyberangriffe aufzudecken, Sicherheitsvorfälle zu untersuchen und darauf zu reagieren.
• Cybersicherheitsteams sollten Zugang zu aktuellen Threat-Intelligence-Informationen [6] erhalten, um über neue Angriffstechniken sowie die Taktiken, Techniken und Vorgehensweisen von Cyberkriminellen informiert zu bleiben.
• Kontinuierliche Sensibilisierungsmaßnahmen und Schulungen für Mitarbeitende stärken das Bewusstsein für Cyberbedrohungen und fördern einen sicheren Umgang mit digitalen Technologien. Hierfür eignen sich beispielsweise spezialisierte Schulungsprogramme wie die Kaspersky Automated Security Awareness Platform [7].

Weitere Informationen zu Citrus sind verfügbar unter https://securelist.com/citrus-ransomware/121879/

[1] https://securelist.com/citrus-ransomware/121879/

[2] https://www.kaspersky.de/next

[3] https://www.kaspersky.de/enterprise-security/compromise-assessment

[4] https://www.kaspersky.de/enterprise-security/managed-detection-and-response

[5] https://www.kaspersky.de/enterprise-security/incident-response

[6] https://www.kaspersky.de/enterprise-security/threat-intelligence

[7] https://www.kaspersky.de/small-to-medium-business-security/security-awareness-platform

Nützliche Links:

• Kaspersky-Analyse zu Citrus: https://securelist.com/citrus-ransomware/121879/
• Kaspersky Next: https://www.kaspersky.de/next
• Kaspersky Compromise Assessment: https://www.kaspersky.de/enterprise-security/compromise-assessment 
• Kaspersky Managed Detection and Response: https://www.kaspersky.de/enterprise-security/managed-detection-and-response
• Kaspersky Incident Response: https://www.kaspersky.de/enterprise-security/incident-response
• Kaspersky Threat Intelligence: https://www.kaspersky.de/enterprise-security/threat-intelligence
• Kaspersky Automated Security Awareness Platform: https://www.kaspersky.de/small-to-medium-business-security/security-awareness-platform