Ransomware Citrus vniká přes účty dodavatelů a šifrovač Sn00py rozesílá skupinovými zásadami

Co se stalo

Výzkumníci Kaspersky 11. listopadu 2026 zveřejnili rozbor skupiny Citrus Ransomware, kterou dosud nepopsali. Podle nich jde o rusky mluvící skupinu, která zatím útočí jen na firmy v Rusku. Zašifrované soubory dostanou příponu .citrus a vzkaz CITRUS_README.txt dává obětem 72 hodin, než útočníci zveřejní ukradená data.

Kaspersky vidí shodné nástroje a postupy se skupinou Toy Ghouls (1C-Shell, Mimikatz, PsExec, ADRecon, stejné složky s nástroji) a v několika incidentech obě skupiny napadly stejnou infrastrukturu. Jejich vlastní infrastruktura se přímo nepřekrývá.

Jak útok probíhá

Vstup. Účty dodavatelů měly jen minimální práva. Odtud útočníci mapovali síť nástroji fscan, ADRecon a SharpHound, sdílené složky prohledávali Snafflerem, hesla získávali Mimikatzem a upraveným keyloggerem a vzdálený přístup si drželi tiše nainstalovaným AnyDeskem. Na serverech 1C:Enterprise používali 1C-Shell; Kaspersky viděl i skript PowerShell spojený s Metasploitem pro CVE-2020-1337, eskalaci práv v tiskové službě Windows opravenou už v srpnu 2020.

Skryté tunely. Kopie nástroje Xray s názvy mst.exe, sabycenter.exe, webex.exe nebo rpchost.exe otevíraly reverzní tunely VLESS na portu 443 a technikou REALITY se tvářily jako provoz na mirror.yandex.ru a yastatic.net.

Převzetí domény. Přes CVE-2026-54121 ve službě Active Directory Certificate Services útočníci vytvořili účty počítačů s názvy začínajícími GHOST, požádali o certifikát na šabloně Machine s ověřovací adresou mířící na vlastní server a vložili do něj DNS jméno řadiče domény. Tím se mohli přihlásit jako účet řadiče domény.

Šifrování. Samorozbalovací archiv vydávaný za nástroj Kaspersky (KasperskyGPO_Deploy_64.exe) spustil skript PowerShell, který zkopíroval šifrovač do SYSVOL a na doménu navázal novou GPO. Zásada na každý stroj nahrála build_64.exe, spustila ho naplánovanou úlohou, zapnula WinRM a vypnula stínové kopie a Windows Defender. Sn00py je napsaný v Go a šifruje uživatelské soubory (ne systémové) pomocí ChaCha20 a RSA-2048. Předtím 7-Zip zabalil složku tdatas – nejspíš data relací Telegram Desktop (tdata) – a archivy odešly na webovou službu.

Pomoc jazykového modelu. Kaspersky našel příkazy s komentáři typickými pro LLM, celé skripty PowerShell napsané modelem (například výpis přihlášených relací) a skript pro nasazení GPO, který model nejspíš upravoval.

Koho se to týká

Kaspersky jmenuje oběti jen v Rusku a obory neuvádí. Slabá místa jsou ale obecná: každá doména Windows, kam se dodavatelé přihlašují přes VPN nebo RDP, kde server AD CS nemá červencovou aktualizaci 2026 a kde nikdo nesleduje změny GPO. Opravená sestavení pro CVE-2026-54121 pokrývají Windows Server 2012 až 2025 (podle NVD například 10.0.20348.5386 pro Server 2022 a 10.0.26100.33158 pro Server 2025).

O útocích Citrus na firmy v Česku nebo na Slovensku NÚKIB ani SK-CERT k 11. 11. 2026 nic nezveřejnili. Pro tuzemské firmy s rozsáhlou sítí dodavatelů (IT podpora, správa 1C nebo ERP) jsou kontroly níže i tak užitečné.

Jak poznat napadení

Indikátory od Kaspersky (MD5; IP adresy zneškodněné):

d631627131b90d576d77f4bf530e1abe  Xray (mst.exe, sabycenter.exe, webex.exe, rpchost.exe)
7107fb029e7c63523e3aca5fc8e56b38  Meterpreter stager (2341.exe)
e251df2d0b7c3682965efb4d2009a2f4  keylogger (jhost.exe)
17b29b6c9de80402a45e321bbe1168fa  Sn00py (build_64.exe)
9eee984b187423c46c10a63d080da15d  Sn00py (build_64.exe)
cf903e4a1629aa0582fd0363b5786676  fscan (fscan.exe)
91.210.109[.]118
91.210.108[.]180

Vybrané cesty a stopy ze stejného rozboru:

C:\ProgramData\WebEx\webex.exe
C:\ProgramData\oracle\java\jhost.exe
C:\ProgramData\x64\mimikatz.exe
C:\ProgramData\steal_tgs.ps1
C:\ProgramData\tdatas
C:\Windows\SYSVOL\domain\build_64.exe
C:\Windows\SYSVOL\domain\KasperskyAgent.exe
C:\Users\*\Desktop\KasperskyGPO_Deploy_64.exe
C:\Users\*\AppData\Local\Temp\Kaspersky_GPO_Deployment.log
Naplánované úlohy: Java, rpchost, agent, KasperskyAgentInstallTask, Sysvc
Vzkaz: CITRUS_README.txt   Přípona: .citrus

Naše tipy pro hledání podle popisu Kaspersky:

• Vypište účty počítačů začínající na GHOST a projděte certifikáty ze šablony Machine, které mají v subjektu nebo SAN jméno řadiče domény, ale nežádal o ně ten řadič.
• Nastavte upozornění na nové nebo změněné GPO navázané na celou doménu a na spustitelné soubory v SYSVOL.
• Najděte vnitřní stroje (mimo proxy), které drží dlouhá spojení na 443 s mirror.yandex.ru nebo yastatic.net.
• Zkontrolujte, zda někdo mazal logy přes wevtutil a zda se bez požadavku neobjevil AnyDesk.

Logy nebo zprávy vložte do našeho extraktoru IOC, vytáhne z nich hashe a IP adresy; běží jen ve vašem prohlížeči.

Co udělat

1. Nainstalujte červencové aktualizace 2026 na všechny servery AD CS (CVE-2026-54121) a projděte, kdo smí žádat o certifikát ze šablony Machine.
2. Omezte přístup dodavatelů – to je hlavní doporučení Kaspersky: MFA, jmenné účty, časově omezený přístup a žádné přímé RDP z internetu.
3. Hlídejte řídicí body domény: změny GPO, obsah SYSVOL, nové účty počítačů a naplánované úlohy na mnoha strojích najednou.
4. Mějte zálohy mimo síť a zkoušejte obnovu; bez klíče útočníků soubory zašifrované Sn00py dešifrovat nejde.
5. Když stopy najdete, berte doménu jako kompromitovanou: zneplatněte podvržené certifikáty, změňte heslo krbtgt a privilegovaných účtů, odhlaste relace Telegram Desktop na dotčených strojích a incident nahlaste NÚKIB (na Slovensku SK-CERT).

Časová osa

Aktualizace

• 11. 11. 2026 (večer) – ověřili jsme stav CVE-2026-54121: podle NVD zatím není v katalogu CISA KEV a CISA ji v červenci 2026 hodnotila jako nezneužívanou (SSVC „exploitation: none“). Zneužití popsané Kaspersky tak zatím v katalogu nemá odraz – nečekejte na zařazení do KEV a servery AD CS opravte hned.
• 11. 11. 2026 – první verze článku.