Citrus-Ransomware nutzt gestohlene Dienstleisterzugänge für Angriffe auf Firmennetze

Angriffe beginnen bei fremden Benutzerkonten

In den von Kaspersky untersuchten Fällen nutzten die Angreifer kompromittierte Konten von Mitarbeitern externer Auftragnehmer. Damit meldeten sie sich über Unternehmens-VPNs oder öffentlich erreichbare Remote-Desktop-Dienste (RDP) an. Die betroffenen Dienstleisterkonten hatten nach Darstellung der Forscher zunächst nur eingeschränkte Rechte. Citrus versuchte anschließend, diese Position innerhalb der Windows-Umgebung auszubauen.

Die Methode ist insbesondere dort relevant, wo Wartungsfirmen, Softwarebetreuer oder andere Partner dauerhafte Fernzugänge erhalten. Sind solche Konten über längere Zeit aktiv, kaum überwacht oder nicht hinreichend auf einzelne Systeme begrenzt, können gestohlene Anmeldedaten einen regulären Administrationsweg für Angreifer öffnen. Der ursprüngliche Zugriff über einen Dienstleister ist daher nicht mit einer kompromittierten Sicherheitssoftware des Herstellers Kaspersky gleichzusetzen.

Rechteausweitung und Verteilung über Gruppenrichtlinien

Nach dem Eindringen versuchte Citrus unter anderem, Schwachstellen und Fehlkonfigurationen im Active Directory auszunutzen. Der ausführliche Forschungsbericht nennt entsprechende Versuche im Zusammenhang mit Active Directory Certificate Services sowie den Einsatz bekannter Werkzeuge zur Untersuchung von Benutzerkonten, Domänenbeziehungen und gespeicherten Zugangsdaten. Für die Bewegung zwischen Systemen verwendete die Gruppe unter anderem RDP, WinRM und SSH.

Bei der späteren Verteilung der Ransomware kamen selbstextrahierende Archive, PowerShell-Skripte und manipulierte Gruppenrichtlinienobjekte (GPOs) zum Einsatz. Über Gruppenrichtlinien lassen sich Änderungen und Aufgaben an zahlreiche domänengebundene Windows-Rechner ausliefern. Die Angreifer nutzten diesen Verwaltungsmechanismus laut Kaspersky, um ihre Schadsoftware breit auszuführen und Schutzfunktionen zu schwächen.

Besonders kritisch ist der Zugriff auf zentrale Sicherheitsverwaltung: Die Forscher beobachteten, dass Angreifer Antivirus-Dienste auf einzelnen Rechnern deaktivierten und nach ausreichender Rechteausweitung auch zentrale Schutzkonsolen angriffen. Eine ordnungsgemäß konfigurierte Gruppenrichtlinie ist selbst keine Schwachstelle; problematisch ist die missbräuchliche Verwendung durch Konten mit unberechtigt erlangten administrativen Befugnissen.

Vor der Verschlüsselung werden Messenger-Daten gesammelt

Citrus beschränkte sich nicht auf das Sperren von Dateien. Unmittelbar vor der Verschlüsselung archivierten die Angreifer nach Kasperskys Beobachtungen Daten aus Messaging-Anwendungen mit 7-Zip und luden die Archive über Google Chrome zu einem externen Webdienst hoch. Dateinamen mit dem Bestandteil tdata lassen auf ein Interesse an Telegram-Desktop-Daten schließen; die Forscher formulieren diese Zuordnung ausdrücklich als möglichen Zusammenhang.

Die anschließend eingesetzte Sn00py-Variante wurde in Go entwickelt und verschlüsselte Nutzerdaten auf Windows-Systemen unter Verwendung von ChaCha20 und RSA-2048. Die Dateien erhielten die Endung .citrus. Eine ohne Angreiferschlüssel verfügbare Entschlüsselungsmöglichkeit nennt Kaspersky bislang nicht. Damit verbindet der Fall die Gefahr einer Betriebsunterbrechung mit einem möglichen Verlust vertraulicher Kommunikation und Sitzungsdaten.

KI-Unterstützung zeigt sich in den Angriffsskripten

Bei der Untersuchung fanden die Sicherheitsforscher Befehle und umfangreichere Skripte mit ungewöhnlich erklärenden Kommentaren, wie sie häufig bei von Sprachmodellen erzeugtem Code vorkommen. Kaspersky wertet dies als starkes Indiz für die Unterstützung durch generative KI beim Erstellen und Anpassen einzelner Angriffswerkzeuge. Welches Sprachmodell verwendet wurde, ist damit nicht belegt.

Die eigentliche Angriffskette beruht nach den veröffentlichten Beobachtungen weiterhin auf bekannten Verfahren: kompromittierte Fernzugänge, Rechteausweitung, Standardwerkzeuge der Windows-Administration und manipulierte Gruppenrichtlinien. Dass KI vermutlich beim Schreiben einzelner Skripte half, erklärt nicht den gesamten Angriff und belegt keine autonome Durchführung durch ein KI-System.

Was Administratoren jetzt prüfen sollten

Aus dem geschilderten Ablauf ergeben sich vor allem Kontrollpunkte für externe Zugänge und privilegierte Windows-Konten. Unternehmen sollten nachvollziehen können, welche Dienstleisterkonten aktiv sind, auf welche Systeme diese zugreifen dürfen und ob ihre Anmeldungen durch starke, möglichst phishingresistente Mehrfaktor-Authentifizierung abgesichert sind. Nicht mehr benötigte Zugänge sollten entzogen und dauerhafte Berechtigungen auf den betrieblich erforderlichen Umfang reduziert werden.

In Active-Directory-Umgebungen sind Änderungen an Gruppenrichtlinien, neu angelegte geplante Aufgaben, ungewöhnliche Aktivitäten von Dienstleisterkonten und Eingriffe in zentrale Schutzkonfigurationen besonders aussagekräftige Prüfbereiche. Das gilt ebenfalls für unerwartete RDP- oder VPN-Verbindungen und neu eingerichtete Fernwartungssoftware. Solche Ereignisse sind für sich genommen noch kein Nachweis eines Citrus-Befalls, gehören aber zu den im Forschungsbericht beschriebenen Angriffsschritten.

Regelmäßig überprüfte, vom produktiven Netz getrennte beziehungsweise gegen unberechtigtes Löschen geschützte Datensicherungen bleiben wichtig, da ein Angriff mit Domänenadministratorrechten auch bestehende Sicherungs- und Wiederherstellungswege gefährden kann. Bei einem konkreten Verdacht sollten betroffene Systeme fachgerecht untersucht und Beweisspuren gesichert werden, bevor eine pauschale Bereinigung oder Wiederherstellung eingeleitet wird.

Die deutsche Kaspersky-Mitteilung vom 11. November 2026 bietet eine Zusammenfassung. Technische Details einschließlich beobachteter Werkzeuge und Indikatoren für die Vorfallsuche stehen im Forschungsbericht auf Securelist, für den keine gleichwertige deutsche Fassung vorliegt.