Sicherheitsexperten von Kaspersky haben eine bislang unbekannte, russischsprachige Ransomware-Gruppe namens Citrus dokumentiert. Die Gruppierung nutzt Windows-Gruppenrichtlinien gezielt aus, um Schadsoftware in Unternehmensnetzwerken auszurollen und Schutzmechanismen wie den Microsoft Defender außer Kraft zu setzen.
Wie aus einem Bericht von Kaspersky Securelist hervorgeht, zielen die Angriffe vor allem auf Organisationen im Finanzsektor, in der Landwirtschaft und im Einzelhandel ab.
Einstieg über Dienstleister und Ausnutzung bekannter Schwachstellen
Der initiale Zugriff auf die Zielnetzwerke erfolgte über kompromittierte Zugangsdaten externer Dienstleister, die über VPN-Verbindungen oder frei zugängliche Remote-Desktop-Dienste (RDP) genutzt wurden.
Für die anschließende Ausweitung der Berechtigungen setzten die Angreifer unter anderem die Schwachstelle CVE-2026-54121 im Active Directory Certificate Service (AD CS) ein, die auch als Certighost bekannt ist und von Microsoft am 14. Juli 2026 behoben wurde.
Diese Lücke ermöglichte das Ausstellen falscher Zertifikate für Domänencontroller-Konten, wobei der Exploit spezifische Maschinenkonten mit der Kennung GHOST gefolgt von acht Zufallsbuchstaben hinterließ. Ergänzend kam ein Metasploit-Exploit für die ältere Schwachstelle CVE-2020-1337 im Windows Print Spooler zum Einsatz, die mit einem Schweregrad von 7,8 als hoch eingestuft ist.
Manipulation der Gruppenrichtlinien und Spuren von KI-Einsatz
Für die Verteilung der Schadsoftware nutzte die Gruppe ein selbstextrahierendes Archiv. Dieses erstellte ein manipuliertes Gruppenrichtlinienobjekt (GPO), kopierte die eigentliche Malware in das SYSVOL-Verzeichnis und verknüpfte sie über die PowerShell-Befehle Import-GPO und New-GPLink im Domänenkontext.
Die manipulierte Richtlinie deaktivierte nicht nur den Microsoft Defender, sondern auch die Volumenschattenkopien des Systems, während gleichzeitig die Windows-Remoteverwaltung (WinRM) aktiviert wurde.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses Cyber-Security E-Book herunterladen
Auffällig an den verwendeten Skripten und Befehlen waren englischsprachige Kommentare wie Disable account oder Verify result. Sicherheitsexperten werten dies als Hinweis darauf, dass während des Angriffs große Sprachmodelle (LLMs) zur Skripterstellung eingesetzt wurden, unter anderem um Administratorkonten zu deaktivieren. Ein konkretes Modell wird in den Berichten jedoch nicht genannt.
Schadsoftware Sn00py und Datendiebstahl
Als Verschlüsselungskomponente diente die in der Programmiersprache Go verfasste Ransomware Sn00py, die auf eine Kombination aus RSA-2048 und ChaCha20 setzt und betroffenen Dateien die Endung .citrus anhängt. Eine Entschlüsselung ist ohne den privaten Schlüssel technisch unmöglich.
Die Domänencontroller DC01 bis DC04 wurden bei den Angriffen von der Verschlüsselung ausgenommen. Konsolenstrings wie Made with RaaS platform Sn00py deuten auf ein Ransomware-as-a-Service-Modell hin. In einer Lösegeldforderung mit dem Namen CITRUS_README.txt setzen die Täter den Betroffenen eine Frist von 72 Stunden zur Kontaktaufnahme.
Vor der Verschlüsselung entwendeten die Angreifer gezielt Daten aus Messaging-Anwendungen, darunter Telegram Desktop über ein Skript namens steal_tgs.ps1. Die Beute wurde mit 7-Zip komprimiert und über Google Chrome hochgeladen.
Der Schutz vor Phishing-Angriffen und Datenklau ist für Firmen heute eine der wichtigsten Sicherheitsaufgaben. Ein kostenloser Leitfaden für Firmen aus Verwaltung, Handel, Produktion und Finanzsektor zeigt Ihnen in 4 Schritten, wie Sie Angriffe stoppen, bevor sie entstehen. Anti-Phishing-Paket gratis sichern
Für die Kommunikation mit den Befehlsservern nutzte Citrus VLESS-Tunnel über Port 443 mit dem REALITY-Protokoll, die als Verbindungen zu bekannten Yandex-Diensten getarnt waren. Zur Verschleierung dienten zudem Prozessnamen wie KasperskyGPO_Deploy_64.exe, während Ereignisprotokolle mittels wevtutil bereinigt wurden.
Einordnung und Sicherheitsmaßnahmen
Beobachter ziehen Parallelen zur russischsprachigen Gruppe Toy Ghouls, die sich ebenfalls auf russische Ziele konzentriert. Genaue Opferzahlen oder konkrete betroffene Unternehmen nennt der Bericht nicht.
Experten von Kaspersky Security Services betonten, dass selbst minimale Zugriffsrechte externer Auftragnehmer bei mangelnder Überwachung ausreichen können, um ein gesamtes Netzwerk vollständig zu kompromittieren. Administratoren wird geraten, die Berechtigungen von externen Dienstleistern strikt zu beschränken, Fernzugänge lückenlos zu überwachen und regelmäßige Backups anzulegen.