Citrus ransomware combineert VLESS-tunnels, Sn00py ransomware en grote taalmodellen om infrastructuren te compromitteren via gecompromitteerde contractors.
De Citrus ransomwaregroep maakt gebruik van een hybride aanvalsmethode waarbij traditionele technieken worden gecombineerd met moderne technologieën zoals grote taalmodellen (LLMs) en VLESS-tunnels om netwerkverkeer te maskeren als reguliere HTTPS-verbindingen. Deze groep, die eerder niet gedocumenteerd was, gebruikt daarnaast de Sn00py-familie ransomware als onderdeel van hun toolkit.
De aanvallers verkrijgen initiële toegang tot netwerken via gecompromitteerde contractors. Ze benutten gestolen inloggegevens van medewerkers van deze contractors om verbinding te maken met bedrijfsnetwerken via VPN of direct toegang te krijgen tot internetgerichte terminalservers via RDP. Voor de uitvoering van commando's maken ze gebruik van de standaard Windows command interpreter en PowerShell, waarbij ze ook scripts en commando's genereren met behulp van LLMs. Dit blijkt onder meer uit commentaarregels in de scripts, iets wat aanvallers normaal gesproken niet toevoegen.
Naast LLMs gebruiken de aanvallers klassieke tools uit de Impacket-collectie, zoals atexec, om geplande taken aan te maken die commando's op systemen uitvoeren. Bij compromittering van 1C:Enterprise-servers wordt gebruikgemaakt van externe dataverwerkers (1C-Shell) om commando's uit te voeren. Voor persistente toegang worden geplande taken handmatig via PowerShell aangemaakt, hoewel op systemen die zelden worden herstart, zoals terminalservers, soms zonder persistente mechanismen wordt gewerkt.
De aanvallers proberen hun privileges te verhogen door misbruik te maken van kwetsbaarheden en configuratiefouten. Zo wordt onder andere geprobeerd de authenticatie-bypass kwetsbaarheid CVE-2026-54121 (Certighost) te exploiteren, wat resulteert in het aanmaken van machine-accounts met herkenbare namen in Active Directory. Daarnaast maken ze gebruik van zwakke toegangspolicies voor beveiligingstools, wat het werk van de aanvallers vergemakkelijkt. Voor credential access worden tools als mimikatz en keyloggers ingezet, en credentials worden ook uit bestanden geëxtraheerd.
De groep gebruikt standaard discovery tools om lokale en remote omgevingen te verkennen en maakt gebruik van SSH, RDP en WinRM voor laterale beweging binnen netwerken. Voor command and control creëren ze tunnels met Xray en installeren ze AnyDesk om toegang te behouden. Gegevens worden verzameld uit messaging-apps en exfiltratie vindt plaats via deze kanalen. Uiteindelijk wordt de Sn00py ransomware ingezet om systemen te versleutelen en impact te veroorzaken.
