Investigadores de Securelist han documentado a Citrus Ransomware, un grupo hasta ahora desconocido que combina túneles VLESS para camuflar su tráfico, modelos de lenguaje para generar scripts maliciosos y el troyano de la familia Sn00py para cifrar los sistemas de sus víctimas. El informe, firmado por Stanislav Larinsky, Vladislav Vlasov y Boris Trefilov, detalla cómo el grupo entra a través de contratistas comprometidos y escala privilegios explotando una vulnerabilidad bautizada como Certighost.
Publicado el día de ayer, el análisis describe un enfoque híbrido que mezcla técnicas clásicas de movimiento lateral con evasión moderna de filtros de red y automatización asistida por IA. Los autores apuntan a un posible vínculo entre Citrus y el grupo Toy Ghouls por el solapamiento de tácticas y procedimientos, aunque el documento no ofrece pruebas técnicas que concreten si se trata de colaboración directa o de simple coincidencia de métodos. A continuación os contamos cómo actúa el grupo en cada fase del ataque, desde el acceso inicial hasta el cifrado final de los archivos.
Quién es Citrus Ransomware y qué lo distingue de otros grupos
Citrus Ransomware es la etiqueta que Securelist ha puesto a un actor de amenazas que no figuraba en sus registros previos. Su kit de herramientas gira en torno al troyano de cifrado de la familia Sn00py y al uso de modelos de lenguaje (LLM) para generar scripts y comandos durante la intrusión.
Lo que más ha llamado la atención de los analistas es el empleo de túneles VLESS, un protocolo de proxy que permite disfrazar el tráfico de comando y control como si fuera una conexión HTTPS corriente, lo que facilita esquivar los filtros de red que muchas empresas tienen desplegados en el perímetro. El informe recorre cada fase del ataque siguiendo el mismo orden que suele seguir una intrusión real: acceso inicial, ejecución, persistencia, escalado de privilegios, sigilo, debilitamiento de las defensas, obtención de credenciales, reconocimiento, movimiento lateral, comando y control, recopilación, exfiltración e impacto final, y cierra con un listado de indicadores de compromiso que las organizaciones pueden usar para detectar la actividad del grupo.
Acceso inicial y ejecución con ayuda de LLM
La cadena de suministro humana es la puerta de entrada favorita de Citrus. En vez de buscar fallos de día cero en el perímetro, el grupo usa credenciales robadas a empleados de empresas contratistas para colarse en la red de la víctima, ya sea conectándose a la VPN corporativa o directamente a servidores de terminales expuestos en internet mediante RDP.
Además de los LLM, el grupo recurre a atexec, una herramienta clásica de la suite Impacket, para crear tareas programadas que ejecutan comandos en los equipos comprometidos. Cuando la víctima utiliza servidores 1C:Enterprise, los atacantes aprovechan procesadores de datos externos (1C-Shell) para lanzar comandos directamente desde esa plataforma, apoyándose a menudo en configuraciones inseguras habituales en estos entornos.
Cómo escala privilegios explotando la vulnerabilidad de Windows
Las cuentas de contratistas llegan con permisos muy reducidos, así que Citrus necesita escalar privilegios para avanzar. Vamos a ver cómo lo consigue: explotando CVE-2026-54121, conocida como Certighost, una vulnerabilidad de omisión de autenticación que afecta a los Servicios de certificados de Active Directory (AD CS).
El exploit, publicado en GitHub, crea en el directorio activo cuentas de equipo con nombres que siguen un patrón reconocible: la palabra GHOST seguida de ocho letras aleatorias, como GHOSTAUFTAFGS, GHOSTCZYQVAZS o GHOSTIVPRLDZA. Desde esa cuenta recién creada, el exploit solicita un certificado basado en la plantilla Machine y manipula el atributo cdc para que la autoridad de certificación verifique los datos contra un servidor bajo control de los atacantes en lugar del controlador de dominio legítimo.
Si la petición se acepta, la autoridad emite un certificado que les permite autenticarse como si fueran el propio controlador de dominio. Una vez dentro con privilegios elevados, el grupo recurre a mimikatz, a un keylogger y a la extracción de credenciales almacenadas en archivos y recursos compartidos de la red.
Para no perder el acceso, Citrus crea tareas programadas a mano desde PowerShell, aunque en servidores que rara vez se reinician, como los de terminales, a veces prescinde directamente de cualquier mecanismo de persistencia. El movimiento por la red se apoya en protocolos de administración remota estándar (SSH, RDP y WinRM), siempre después de un reconocimiento tanto local como remoto del entorno.
El tramo de comando y control pasa por Xray, que les sirve para montar túneles inversos con el protocolo VLESS, de forma que el tráfico malicioso queda camuflado bajo lo que parece una conexión HTTPS normal. Como capa adicional de acceso remoto instalan AnyDesk, y para no dejar rastro de su paso por el sistema recurren a técnicas de sigilo y enmascaramiento de sus propias herramientas.
Exfiltración de datos y cifrado final con el troyano Sn00py
Antes de cifrar nada, el grupo recopila y se lleva información sensible de la víctima, incluidos datos extraídos de aplicaciones de mensajería internas de la empresa. Esta combinación de robo de datos previo y cifrado posterior se conoce en el sector como doble extorsión, una estrategia que varios grupos de ransomware usan para presionar a las víctimas aunque dispongan de copias de seguridad.
Los investigadores señalan que estas acciones se ven facilitadas en entornos donde las políticas de acceso a las consolas de gestión centralizada de las herramientas de seguridad son demasiado laxas, lo que permite a los atacantes desactivar las defensas sin apenas resistencia.
El golpe final llega con el despliegue del troyano cifrador de la familia Sn00py, que entra en acción una vez completadas las fases previas de reconocimiento, movimiento lateral y robo de datos. El informe no detalla qué tipo de nota de rescate deja el grupo tras el cifrado ni si amenaza con publicar la información sustraída en caso de impago.
Qué hacer para detectar y frenar a Citrus Ransomware
El propio informe de Securelist recoge una lista de indicadores de compromiso, pero hay señales de alto nivel que cualquier equipo de seguridad puede vigilar desde ya:
- Buscar en Active Directory cuentas de equipo con nombres que empiecen por GHOST seguidos de ocho letras aleatorias.
- Monitorizar solicitudes anómalas de certificados con la plantilla Machine en los servidores AD CS.
- Reforzar la autenticación de los accesos de terceros (contratistas) que entran por VPN o RDP.
- Revisar las políticas de acceso a las consolas de gestión centralizada de las herramientas de seguridad, ya que los atacantes las usan para desactivar las defensas de forma masiva.
- Comprobar el estado del parche para CVE-2026-54121 (Certighost) en los boletines oficiales de Microsoft.