Ny ransomware-gruppe bruger kunstig intelligens mod Windows
Sikkerhedsfirmaet Kaspersky har opdaget den russisktalende ransomware-gruppe Citrus, som udnytter kunstig intelligens og stjålne leverandørkonti til at infiltrere virksomheders it-systemer
Del artiklen påAf Lars Bennetzen
En ny ransomware-gruppe ved navn Citrus er blevet identificeret. Gruppen retter målrettede angreb mod Windows-systemer i erhvervsmiljøer. Angriberne skaffer sig indledende adgang ved at misbruge kompromitterede konti fra eksterne samarbejdspartnere. Det giver dem adgang til vpn-tjenester og rdp-servere, der vender ud mod internettet.
Under angrebene gør Citrus i høj grad brug af indbyggede Windows-værktøjer og PowerShell. Sikkerhedsanalytikere har observeret, at gruppen benytter scripts og kommandoer genereret af sprogmodeller til at bygge og tilpasse deres værktøjer under indtrængningen. For at skjule deres spor sletter gruppen efterfølgende filerne, rydder kommandohistorik og fjerner hændelseslogfiler.
Inden inficerede enheder krypteres, indsamler angriberne data fra beskedapplikationer. Dataene komprimeres med 7-Zip og overføres til en ekstern webtjeneste via Google Chrome. Til selve krypteringen anvendes en variant af ransomware-familien Sn00py, som er skrevet i programmeringssproget Go, og som tilføjer filtypenavnet .citrus til de låste filer.
- Citrus skiller sig ud ved den måde, hvorpå indhold genereret af kunstig intelligens ser ud til at understøtte de praktiske indtrængningsaktiviteter på kompromitterede systemer, udtaler Stanislav Larinsky, ekspert i Kaspersky Security Services.
- I de sager, vi undersøgte, kombinerede angriberne adgang via tredjepartskonti, forsøg på rettighedseskalering og domænedækkende udrulningsteknikker. Disse hændelser viser, hvordan begrænset adgang for underleverandører kan blive en vej til bredere kompromittering, hvis adgangen ikke kontrolleres stramt og overvåges kontinuerligt, tilføjer Stanislav Larinsky.
For at mindske risikoen for lignende angreb anbefales det at tage regelmæssige sikkerhedskopier og opbevare dem adskilt. Derudover bør operativsystemer og software opdateres løbende, mens organisationer opfordres til at anvende sikkerhedsløsninger i flere lag samt styrke medarbejdernes digitale sikkerhedsforståelse.