I ricercatori di Kaspersky hanno documentato Citrus, un gruppo di lingua russa finora sconosciuto che cifra i sistemi Windows delle aziende. Il ransomware Citrus entra nelle reti attraverso gli account rubati ai fornitori esterni e, secondo l’analisi pubblicata l’11 novembre su Securelist, gli attaccanti si fanno aiutare dai modelli linguistici di grandi dimensioni (LLM) per scrivere comandi e script usati durante l’intrusione.
Come entra il ransomware Citrus
Negli incidenti analizzati da Kaspersky, l’accesso iniziale è sempre passato dai collaboratori esterni: gli attaccanti hanno usato credenziali sottratte ai dipendenti di aziende fornitrici per collegarsi alla VPN aziendale o direttamente, via RDP, a server terminal esposti su internet. Gli account usati avevano privilegi molto limitati, quindi il gruppo ha cercato di ottenerne di più. Tra i tentativi documentati c’è lo sfruttamento della vulnerabilità di bypass dell’autenticazione CVE-2026-54121 (Certighost) nei servizi di certificazione di Active Directory di Microsoft, con un exploit pubblicato su GitHub, oltre all’abuso di server 1C:Enterprise configurati in modo poco sicuro.
Secondo i ricercatori il gruppo colpisce, per quanto noto finora, solo aziende russe e mostra diverse somiglianze con un altro gruppo, Toy Ghouls: stessi strumenti, stesse cartelle di lavoro e, in alcuni casi, le stesse infrastrutture compromesse in parallelo. Le due infrastrutture, però, non coincidono direttamente.
Il ruolo dell’intelligenza artificiale
L’indizio che porta all’AI sono i commenti. Kaspersky ha trovato comandi PowerShell, file batch e script completi corredati da commenti esplicativi, una cura che gli attaccanti di solito non hanno e che è tipica del testo prodotto dagli LLM. Un esempio è lo script usato per elencare le sessioni attive degli utenti sui computer del dominio; anche una versione dello script che crea la policy di gruppo malevola sembra modificata con un modello linguistico.
L’AI, in questo caso, non sostituisce le tecniche classiche: Citrus usa strumenti noti come Impacket, mimikatz, Snaffler per cercare credenziali nelle cartelle condivise, un keylogger derivato da un progetto open source e AnyDesk per il controllo remoto. Per nascondere il traffico verso i server di comando crea tunnel VLESS con Xray sulla porta 443, camuffati da richieste a siti legittimi. È lo stesso schema ibrido che abbiamo visto in altri casi recenti, come i falsi tecnici IT negli studi legali analizzati da CrowdStrike.
Cifratura con Sn00py e furto dei dati di Telegram
Prima di cifrare, gli attaccanti hanno raccolto da remoto le cartelle di sessione di Telegram Desktop dei computer raggiungibili, comprimendole in archivi 7-Zip poi caricati su un servizio web esterno. Per la cifratura usano un trojan della famiglia Sn00py, scritto in Go, che combina RSA-2048 e ChaCha20, aggiunge ai file l’estensione .citrus e, secondo Kaspersky, al momento non può essere decifrato senza la chiave privata del gruppo. Una stringa nel programma fa pensare a un modello ransomware-as-a-service, in cui il malware viene noleggiato già pronto.
La diffusione avviene con una policy di gruppo chiamata, in modo ingannevole, “Kaspersky GPO”, che copia il ransomware sui sistemi, disattiva Windows Defender e le copie shadow e imposta uno sfondo con la richiesta di riscatto. La nota concede 72 ore per prendere contatto e minaccia di pubblicare dati di dipendenti, contabilità, contratti e codice sorgente. Il ricorso a nomi di prodotti di sicurezza, precisa Kaspersky, non impedisce il rilevamento. Per un altro esempio di come lavorano i gruppi ransomware abbiamo raccontato il caso del ransomware 3AM contro una scuola britannica.
Come difendersi dal ransomware Citrus
- Limitare e controllare gli accessi dei fornitori: account dedicati, autenticazione a più fattori su VPN e RDP, privilegi minimi e scadenze definite.
- Evitare di esporre direttamente su internet i server terminal e verificare i log di accesso remoto alla ricerca di orari e provenienze anomale.
- Verificare l’esposizione di Active Directory Certificate Services alla vulnerabilità CVE-2026-54121 e controllare la presenza di account computer con nomi sospetti, come quelli che iniziano con “GHOST” indicati da Kaspersky.
- Proteggere le console di gestione dei prodotti di sicurezza, che il gruppo prende di mira per disattivare le difese in blocco, e monitorare modifiche alle policy di gruppo e alle esclusioni dell’antivirus.
- Mantenere backup offline e verificati e consultare gli indicatori di compromissione pubblicati nel report.
Fonti: Kaspersky Securelist, comunicato stampa Kaspersky dell’11 novembre 2026.
