O nouă amenințare cibernetică, identificată de experții de la Kaspersky, vizează rețelele organizațiilor prin exploatarea politicilor de grup Windows (GPO). Grupul infracțional, numit Citrus, reușește să distribuie software malițios în interiorul sistemelor compromise, afectând dispozitivele conectate la rețeaua centrală. Această metodă de atac permite atacatorilor să extindă controlul asupra infrastructurii digitale a companiilor vizate într-un mod extrem de eficient și rapid.
Procesul de atac începe prin obținerea accesului inițial utilizând credențiale furate de la angajații contractorilor care colaborează cu organizațiile respective. Odată ce au reușit să pătrundă în sistem, atacatorii escaladează privilegiile de utilizare pentru a compromite controlerele de domeniu. Această etapă critică le permite să preia controlul asupra întregii rețele și să manipuleze setările de securitate fundamentale ale sistemului de operare Windows.
După ce au stabilit controlul asupra infrastructurii, membrii grupării Citrus instalează ransomware-ul Sn00py pe dispozitivele din rețea. Înainte de a începe procesul de criptare a fișierelor, atacatorii acționează pentru a dezactiva Microsoft Defender și alte servicii esențiale de recuperare a datelor. Această strategie are scopul de a lăsa victimele fără posibilitatea de a restaura informațiile pierdute fără plata unei răscumpărări.
Pentru a facilita operațiunile, grupul utilizează instrumente de acces la distanță și scripturi care pot fi generate cu ajutorul inteligenței artificiale. Această utilizare a tehnologiilor avansate contribuie la complexitatea atacului și la dificultatea de detectare a activităților malițioase. Specialiștii subliniază că modul în care sunt gestionate politicile de grup devine un punct vulnerabil major în fața unor astfel de grupări organizate.
Pentru a preveni astfel de incidente, experții recomandă restricționarea strictă a accesului oferit contractorilor și monitorizarea constantă a oricărei modificări în politicile de grup. Este esențială și verificarea periodică a oricăror dezactivări neautorizate ale soluțiilor de securitate instalate pe terminale. O supraveghere atentă a controlerelor de domeniu poate ajuta la identificarea timpurie a tentativelor de escaladare a privilegiilor de către entități externe.
Securitatea rețelelor de companie depinde în mare măsură de gestionarea corectă a identităților și a permisiunilor de acces. În contextul creșterii atacurilor de tip ransomware, protecția împotriva compromiterii controlerelor de domeniu rămâne o prioritate pentru orice departament de IT. Utilizarea politicilor de grup (GPO) pentru distribuția de malware reprezintă o evoluție periculoasă a tehnicilor de atac cibernetic utilizate la nivel global.