در سال‌های اخیر، تهدیدات سایبری به رویکردی ترکیبی روی آورده‌اند که در آن تکنیک‌های سنتی برای پیشروی در زیرساخت، متدهای مدرن برای دور زدن فیلترهای شبکه و اتوماسیون مبتنی بر مدل‌های زبانی بزرگ (LLM) با یکدیگر ادغام می‌شوند. باج‌افزار Citrus نمونه‌ای بارز از این رویکرد است؛ گروهی که از تونل‌های VLESS برای استتار ترافیک در قالب HTTPS و تروجان باج‌افزاری خانواده Sn00py برای رمزنگاری داده‌ها استفاده می‌کند.
دسترسی اولیه از طریق پیمانکاران
عامل تهدید برای نفوذ اولیه به زیرساخت قربانیان، از حساب‌های سازش‌پذیر پیمانکاران استفاده می‌کند. این مهاجمان با به‌کارگیری اعتبارنامه‌های (Credentials) سرقتی از کارکنان پیمانکاران، به VPNهای سازمانی یا مستقیماً به سرورهای Terminal که از طریق RDP در معرض اینترنت هستند، متصل می‌شوند.
اجرا و بهره‌برداری از مدل‌های زبانی بزرگ (LLM)
مهاجمان دستورات خود را از طریق PowerShell و Command Prompt اجرا می‌کنند. نکته قابل توجه در این حملات، استفاده از LLMها برای تولید اسکریپت‌های PowerShell و فایل‌های Batch است. وجود کامنت‌های توضیحی در دستورات (که معمولاً مهاجمان در حملات دستی از آن‌ها استفاده نمی‌کنند)، گواه استفاده از هوش مصنوعی برای تولید کد است. علاوه بر این، ابزار atexec از مجموعه Impacket برای ایجاد Taskهای زمان‌بندی شده جهت اجرای دستورات در سیستم‌های هدف به‌کار گرفته می‌شود.
ارتقای سطح دسترسی (Privilege Escalation)
از آنجایی که حساب‌های پیمانکاران معمولاً دسترسی محدودی دارند، مهاجمان برای ارتقای سطح دسترسی از روش‌های زیر استفاده می‌کنند:
- بهره‌برداری از آسیب‌پذیری‌ها: تلاش برای اکسپلویت کردن آسیب‌پذیری CVE-2026-54121 (Certighost) جهت دور زدن احراز هویت و ایجاد حساب‌های ماشینی در Active Directory.
- استفاده از Metasploit: به‌کارگیری اکسپلویت CVE-2020-1337 برای نفوذ عمیق‌تر.
- سوءپیکربندی سرورها: بهره‌برداری از پیکربندی‌های ناامن در سرورهای 1C:Enterprise که اغلب توسط مدیرانی با دسترسی بالا مدیریت می‌شوند.
پنهان‌سازی و خنثی‌سازی دفاعات
برای جلوگیری از شناسایی، مهاجمان ابزارهای خود را با نام‌های جعلی و مشابه نرم‌افزارهای امنیتی (مانند KasperskyGPO_Deploy_64.exe) نام‌گذاری می‌کنند. همچنین با استفاده از ابزار wevtutil لاگ‌های سیستم را پاک کرده و در صورت دستیابی به دسترسی‌های لازم، آنتی‌ویروس‌ها را از طریق کنسول‌های مدیریت مرکزی یا تغییر در رجیستری (از طریق GPO) غیرفعال می‌کنند.
دسترسی به اعتبارنامه‌ها و شناسایی
این گروه از ابزارهای متنوعی برای سرقت اطلاعات استفاده می‌کند:
- Mimikatz: برای استخراج اعتبارنامه‌ها از حافظه.
- Snaffler: برای جستجوی کلیدهای SSH و توکن‌های دسترسی در Shareهای شبکه.
- Keylogger: استفاده از نسخه‌ای تغییریافته از peeping-tom برای ثبت ضربات کیبورد.
- fscan و ADRecon: برای شناسایی زیرساخت داخلی و تحلیل ساختار Active Directory.
فرماندهی و کنترل (C2) و تونل‌زنی
مهاجمان برای انتقال ابزارها از certutil، BITS و cURL استفاده می‌کنند. برای برقراری ارتباط با سرور C2، ابزار Xray را نصب کرده و تونل‌های معکوس VLESS ایجاد می‌کنند. برای استتار بیشتر، از پروتکل REALITY استفاده می‌شود تا ترافیک مهاجمان مشابه درخواست‌های قانونی به سایت‌هایی مانند yandex.ru به نظر برسد. همچنین از AnyDesk برای کنترل از راه دور سیستم‌های قربانی استفاده می‌کنند.
سرقت داده‌ها و اثر نهایی (Impact)
پیش از رمزنگاری، مهاجمان با اجرای اسکریپت‌های PowerShell، داده‌های مربوط به اپلیکیشن تلگرام (پوشه tdata) را سرقت کرده و از طریق Google Chrome به بیرون منتقل می‌کنند. در مرحله نهایی، باج‌افزار Sn00py که به زبان Go نوشته شده، با استفاده از الگوریتم‌های RSA-2048 و ChaCha20 فایل‌ها را رمزنگاری کرده و پسوند .citrus را به آن‌ها اضافه می‌کند. توزیع این باج‌افزار در سطح شبکه به صورت انبوه و از طریق Group Policy Object (GPO) صورت می‌گیرد.
ارتباط با سایر گروه‌ها
تحلیل TTPهای گروه Citrus شباهت‌های زیادی را با گروه Toy Ghouls نشان می‌دهد. هر دو گروه روسی‌زبان هستند، شرکت‌های روسی را هدف قرار می‌دهند و از ابزارهای مشابهی مانند 1C-Shell و ADRecon استفاده می‌کنند.
