Citrus, un rançongiciel qui entre par des sous-traitants et s’aide de l’IA, selon Kaspersky

Kaspersky a publié le 11 novembre 2026, sur Securelist (en anglais), un rapport sur un groupe rançongiciel jusqu’ici non documenté, qu’elle appelle Citrus. Les attaquants prennent d’abord pied par des sous-traitants compromis, dissimulent le trafic de commande et de contrôle dans des tunnels qui ressemblent à du HTTPS ordinaire, et utilisent une souche rançongiciel de la famille Sn00py pour chiffrer des fichiers. Kaspersky dit aussi que le groupe s’est servi de grands modèles de langage pour aider à rédiger certaines commandes et certains scripts. Voici ce que les chercheurs ont trouvé, et pourquoi l’accès des sous-traitants est le point à prendre au sérieux.

Comment les attaques commencent

Dans les incidents examinés par Kaspersky, Citrus n’a pas commencé par une faille exposée sur Internet chez l’entreprise victime elle-même. Les attaquants ont utilisé des identifiants volés à des employés de sous-traitants de l’entreprise pour se connecter à des RPV d’entreprise, ou à des serveurs terminaux exposés sur Internet par RDP.

Une fois à l’intérieur, ils ont lancé des commandes par l’interpréteur Windows habituel et par PowerShell, et ont créé des tâches planifiées pour garder leurs outils. Kaspersky dit que certaines commandes, et même des scripts complets, ont l’air d’avoir été produits par un modèle de langage : ils portent le genre de commentaires explicatifs que des attaquants rédigent rarement à la main, comme « Disable account » et « Verify result ».

Le groupe a aussi utilisé des outils d’administration connus, dont atexec d’Impacket pour lancer des commandes par des tâches planifiées et, sur des serveurs 1C:Enterprise, des processeurs de données externes appelés 1C-Shell.

Ce qui se passe ensuite

Pour se déplacer et rester discrets, les opérateurs de Citrus mêlent des techniques bien connues à une façon moins courante de faire transiter le trafic. Kaspersky décrit des tunnels VLESS, mis en place avec un outil appelé Xray, utilisés pour faire passer le trafic de commande et de contrôle pour du HTTPS ordinaire. Les attaquants ont aussi installé AnyDesk, recueilli des identifiants avec des outils comme mimikatz et un enregistreur de frappe, et dans certains cas tenté d’élever leurs privilèges, y compris en essayant d’exploiter une faille de contournement d’authentification suivie sous le nom CVE-2026-54121 (Certighost).

Quand ils sont prêts à chiffrer, ils utilisent un rançongiciel de la famille Sn00py. Kaspersky dit que la souche est écrite en Go et utilise RSA-2048 et ChaCha20 pour chiffrer les fichiers utilisateur, mais pas les fichiers système, sous Windows. Les fichiers chiffrés reçoivent l’extension .citrus. Pour l’instant, selon les chercheurs, le déchiffrement est impossible sans la clé privée des attaquants. Une chaîne dans la console du rançongiciel, « Made with RaaS platform Sn00py », laisse penser que le programme de chiffrement est vendu comme rançongiciel en tant que service, plutôt que rédigé par Citrus elle-même.

Liens avec un autre groupe, et qui est visé

Kaspersky a remarqué plusieurs ressemblances avec un groupe qu’elle suit sous le nom Toy Ghouls. Les infrastructures des deux groupes ne se chevauchent pas directement, mais ils partagent des tactiques et des outils, les stockent dans les mêmes répertoires, et sont tous deux russophones. Kaspersky dit que les deux groupes n’ont jusqu’ici attaqué que des entreprises russes, et que dans plusieurs incidents, la même infrastructure a été compromise par les deux groupes à la fois.

Cette cible importe pour les lecteurs hors de Russie : d’après ce que Kaspersky a publié, il ne s’agit pas d’une vague grand public mondiale. La leçon utile, elle, voyage. La porte d’entrée était un accès de sous-traitant qui n’avait pas été suffisamment limité.

Ce que vous pouvez faire

1. Si vous faites appel à des sous-traitants qui se connectent à votre réseau, ne leur donnez que l’accès dont ils ont besoin, sur des comptes que vous pouvez révoquer rapidement, avec une authentification multifactorielle et un journal qui leur est propre.
2. Traitez comme un risque les accès RPV et RDP inutilisés ou permanents, surtout sur des serveurs terminaux exposés sur Internet.
3. Surveillez les logiciels d’accès à distance inattendus, comme une nouvelle installation d’AnyDesk, et les fichiers chiffrés portant l’extension .citrus.
4. Conservez des sauvegardes hors ligne que le rançongiciel qui tourne sur le réseau principal ne peut pas atteindre, et testez qu’elles se restaurent.
5. Si vous ne gérez pas un réseau d’entreprise, ce rapport ne vous demande rien à changer sur vos propres appareils.

Comment Frame peut aider

Citrus a été observé dans des attaques contre des réseaux d’entreprise, pas sous la forme d’une liste publiée d’adresses courriel personnelles, donc il n’y a pas d’enregistrement de fuite à ajouter dans Frame. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame ne scrute pas les réseaux d’entreprise.

À lire aussi

• Kaspersky : mots de passe root réutilisés et supervision ont ouvert ESXi et Proxmox au rançongiciel : un autre rapport récent de Kaspersky sur la façon dont des groupes rançongiciels abusent d’accès courants et d’erreurs de configuration.
• Un chercheur publie 33 failles de N-central avec exploits fonctionnels, et N-able met le service hors ligne : un rappel que les outils utilisés pour gérer de nombreux réseaux clients sont des cibles de grande valeur.
• Symantec : l’IA a aidé des attaquants à relancer une intrusion enlisée chez un détaillant américain : un autre rapport cette semaine sur des attaquants qui utilisent des scripts écrits par IA en pleine intrusion.

Sources

• Kaspersky Securelist, Citrus Ransomware: VLESS for traffic, Sn00py for encryption, and LLMs lending a hand (en anglais), 11 novembre 2026