- Fallo de seguridad crítico en el servidor web Apache: podrían hackear tu web en segundos
- Microsoft corrige más de 1000 fallos y debes actualizar cuanto antes Windows
Un grupo de ransomware desconocido, bautizado como Citrus, manipula las directivas de grupo de Windows (GPO) para propagar su malware por redes corporativas completas y, antes de cifrar nada, apagar Microsoft Defender. Los atacantes entran con credenciales robadas a contratistas, escalan privilegios hasta hacerse con un controlador de dominio y desde ahí extienden el cifrado a cualquier equipo conectado a la red. Securelist, el área de investigación de Kaspersky, documentó la operación. Vamos a explicarte cómo actúa el grupo.
El informe de Securelist describe a Citrus como un grupo no documentado hasta ahora que combina la familia de ransomware Sn00py con túneles de red ocultos y, según los analistas, con ayuda de inteligencia artificial para redactar parte de su código.
Cómo despliega Citrus el ransomware y qué cifra
Los atacantes ejecutan, una vez consiguen privilegios suficientes, un archivo autoextraíble que construye un objeto de directiva de grupo (GPO) malicioso. Un script de PowerShell incluido en ese archivo copia el ransomware en la carpeta SYSVOL del controlador de dominio y vincula la política al dominio con los comandos Import-GPO y New-GPLink, de modo que cada equipo conectado la recibe de forma automática.
La directiva deja caer el archivo del ransomware en cada equipo, crea una tarea programada que lo ejecuta en modo silencioso y sin reinicio, y activa el servicio WinRM. También modifica el registro para desactivar Windows Defender (Securelist señala que el antivirus no reaccionó al activarse el ransomware) y desactiva el servicio de instantáneas de volumen, el mecanismo que usa Windows para recuperar versiones anteriores de los archivos. Para camuflarse, los atacantes bautizan la política como «Kaspersky GPO» e incluyen archivos con nombres como KasperskyAgent.exe y Deploy-KasperskyGPO.ps1, aunque Kaspersky aclara que el truco no sirve de nada porque sus productos detectan y bloquean esos archivos sea cual sea su nombre.
El ransomware, de la familia Sn00py y escrito en Go, cifra los archivos de usuario con RSA-2048 y ChaCha20 (sin tocar los del sistema) y añade la extensión .citrus; la nota CITRUS_README.txt da a las víctimas 72 horas para contactar, y sin la clave privada de los atacantes no hay forma de recuperar los archivos. El malware también evita una lista de controladores de dominio para seguir propagando la política sin interrupciones.
Cómo entra Citrus en la red y qué herramientas usa
El grupo no necesita vulnerabilidades complejas para colarse: usa credenciales robadas a empleados de empresas contratistas y accede a través de VPN corporativas o servidores RDP expuestos a internet, cuentas que suelen tener privilegios bajos y que los atacantes intentan escalar en cuanto logran entrar en la red corporativa de la víctima.
Para escalar esos privilegios han probado el fallo Certighost (CVE-2026-54121), que crea cuentas de Active Directory con nombres que empiezan por GHOST, además del CVE-2020-1337 y servidores 1C:Enterprise mal configurados. Dentro de la red recurren a un repertorio conocido: mimikatz para extraer contraseñas de la memoria, un keylogger modificado y Snaffler para rastrear secretos en recursos compartidos. El mapeo lo hacen con fscan, ADRecon y SharpHound, y se mueven con SSH, RDP y WinRM. Las herramientas llegan a los equipos a través de utilidades legítimas de Windows como certutil y BITS, lo que dificulta que salten las alertas de terceros.
Túneles ocultos, rastros de IA y cómo detectarlo a tiempo
El tráfico de mando y control se esconde con Xray, que abre túneles VLESS inversos por el puerto 443 para que todo parezca tráfico HTTPS normal, incluso imitando visitas a dominios como mirror.yandex.ru y yastatic.net. Para controlar los equipos a distancia instalan AnyDesk sin que se note, y antes de cifrar nada lanzan un script, steal_tgs.ps1, que empaqueta y roba los datos de Telegram Desktop.
Securelist encontró comandos y scripts con comentarios inusualmente ordenados, un detalle que rara vez dejan los atacantes y que apunta al uso de modelos de lenguaje para redactar parte del código. Por las herramientas que comparten y por haber atacado a empresas rusas, los investigadores vinculan a Citrus con otro grupo de habla rusa, Toy Ghouls.
Si administras una red corporativa, Securelist recomienda limitar y revisar el acceso de los contratistas, configurar alertas que avisen ante la creación de nuevas GPO o cambios en el atributo gPLink, proteger las consolas de las herramientas de seguridad y vigilar cualquier cambio inesperado en la configuración de Defender. El propio informe apunta a que el grupo recurre sobre todo a métodos ya conocidos, lo que facilita una detección temprana si se vigilan de cerca los cambios en las directivas de grupo.