Kaspersky ontdekt ransomwaregroep die AI-scripts inzet tijdens aanvallen

De groep verschafte zich toegang met gestolen inloggegevens van externe partijen. Daarmee logden de aanvallers in op vpn-diensten of op via internet bereikbare RDP-servers (remote desktop protocol). Eenmaal binnen maakte Citrus veel gebruik van ingebouwde Windows-tools en PowerShell.

AI-scripts en sporen wissen

Kaspersky trof PowerShell-scripts, batchbestanden en losse commando’s aan die volgens het onderzoek met taalmodellen lijken te zijn gemaakt. Ook ontdekten de onderzoekers complete scripts met commentaar dat past bij AI-gegenereerde output. Dat wijst erop dat de aanvallers dergelijke tools gebruikten om onderdelen van de aanval tijdens de operatie op te bouwen en aan te passen.

Om minder op te vallen verwijderde Citrus na gebruik tools en uitvoerbestanden, wiste het de opdrachtgeschiedenis en in sommige gevallen ook de eventlogs. Tools en andere bestanden kregen onschuldig ogende namen, waarbij de aanvallers de naam van een vertrouwd merk gebruikten.

Gegevens buitgemaakt voor versleuteling

Voordat de aanvallers bestanden versleutelden, verzamelden ze gegevens uit berichtenapps op bereikbare systemen. Die data werd met 7-Zip gecomprimeerd en via Google Chrome geüpload naar een externe webdienst.

Voor de grootschalige uitrol van de ransomware gebruikte de groep zelfuitpakkende archieven, PowerShell-scripts en kwaadaardige groepsbeleidsobjecten (GPO’s). Daarmee maakten de aanvallers geplande taken aan, schakelden ze beheer op afstand in, verzwakten ze ingebouwde beveiligingen en toonden ze een losgeldbrief op besmette apparaten.

Ransomware in Go

Het gebruikte ransomwarebestand is een variant uit de Sn00py-familie, geschreven in Go. Op Windows versleutelt de malware gebruikersbestanden en voegt die de extensie .citrus toe. Bij het opstarten opent de malware een consolevenster en probeert hij systeeminstellingen aan te passen, wat volgens Kaspersky erop wijst dat de aanvallers niet alleen data willen versleutelen, maar ook herstel en incidentrespons willen bemoeilijken.

Kaspersky zag daarnaast overeenkomsten met de tactieken, technieken en procedures van Toy Ghouls, waaronder het versleutelen van systemen en vergelijkbare tools. Volgens het beveiligingsbedrijf laten de incidenten zien hoe beperkte toegang voor een externe partij kan uitgroeien tot een bredere compromittering als die toegang niet strikt wordt beperkt en continu wordt gemonitord. Het volledige rapport is hier beschikbaar.