Un nuevo grupo de ransomware llamado Citrus está utilizando la Directiva de Grupo de Windows para desplegar su malware en redes corporativas completas y, antes que nada, desactivar Microsoft Defender.

La Directiva de Grupo es una herramienta confiable de Windows que los administradores usan para gestionar muchos ordenadores a la vez. En este caso, los atacantes la convierten en un sistema de entrega.

El grupo entra mediante credenciales robadas de contratistas y luego se desplaza lentamente por la red hasta controlar un controlador de dominio. Desde ahí, un solo cambio en la directiva puede alcanzar a cada máquina conectada.

Este estilo no es nuevo, y casos recientes de atacantes que abusan de las directivas de grupo de Active Directory muestran por qué necesitas vigilar estrechamente los cambios en las directivas.

Los analistas de Securelist, el brazo de investigación de Kaspersky, identificaron al grupo Citrus y describieron sus herramientas en un informe publicado el 11 de noviembre de 2026.

El equipo define a Citrus como un grupo previamente no documentado. Combina la familia de ransomware Sn00py con túneles de red ocultos y, notablemente, con ayuda de herramientas de chat de IA.

Abusan de la Directiva de Grupo de Windows

Una vez que los atacantes poseen suficientes privilegios, ejecutan un archivo autoextraíble que crea un Objeto de Directiva de Grupo (GPO) malicioso.

El archivo contiene un script de PowerShell que copia el ransomware en la carpeta SYSVOL del controlador de dominio. Luego, vincula la nueva directiva al dominio utilizando los comandos Import-GPO y New-GPLink.

Cada ordenador del dominio recibe entonces la directiva. Esta despliega el archivo del ransomware, crea una tarea programada que lo ejecuta con las opciones de modo silencioso y sin reinicio, y activa el servicio WinRM.

También desactiva el servicio de Copias de sombra de volumen, que Windows utiliza para restaurar versiones anteriores de archivos. Lo más importante es que cambia los ajustes del registro para apagar Windows Defender. Securelist afirma que el antivirus simplemente no reaccionó cuando el ransomware comenzó a actuar.

Los atacantes ponen a sus archivos nombres que parecen seguros. La directiva se llama Kaspersky GPO, y los archivos incluyen KasperskyAgent.exe y Deploy-KasperskyGPO.ps1.

Kaspersky señala que este truco no sirve de nada, ya que sus productos detectan y bloquean estos archivos. Se han visto tácticas similares en otros lugares, incluyendo casos donde el ransomware intentó desactivar Defender antes de cifrar los archivos.

El ransomware en sí pertenece a la familia Sn00py. Está escrito en Go y utiliza cifrado RSA-2048 y ChaCha20 en los archivos del usuario, pero deja intactos los archivos del sistema.

Los archivos cifrados reciben la extensión .citrus, y una nota CITRUS_README.txt da a las víctimas 72 horas para ponerse en contacto. El descifrado no es posible sin la clave privada de los atacantes. El malware también ignora una lista de controladores de dominio, lo que permite que la directiva se siga propagando sin interrupción.

Acceso de contratistas, túneles ocultos y scripts escritos por IA

Citrus no depende de puntos de entrada exóticos. Utiliza credenciales robadas de empleados de contratistas para iniciar sesión a través de VPN corporativas o servidores RDP expuestos.

Estas cuentas suelen tener privilegios bajos, por lo que los atacantes intentan elevarlos. Han probado el fallo Certighost, rastreado como CVE-2026-54121, que creaba cuentas de Active Directory con nombres que empezaban por GHOST.

También probaron el CVE-2020-1337 y fueron tras servidores 1C:Enterprise mal configurados. Después de eso, el grupo utiliza un kit de herramientas estándar. Ejecuta mimikatz para extraer contraseñas de la memoria, un keylogger modificado y Snaffler para buscar secretos en carpetas compartidas de la red.

Utiliza fscan, ADRecon y SharpHound para mapear la red, y luego se desplaza mediante SSH, RDP y WinRM. Las herramientas llegan a través de utilidades integradas de Windows como certutil y BITS.

La parte más inusual es la ocultación del tráfico. Los atacantes instalan Xray y abren túneles inversos VLESS en el puerto 443, para que el tráfico parezca HTTPS normal.

Sus ajustes también hacen que el tráfico parezca visitas a mirror.yandex.ru y yastatic.net. Para el control remoto, instalan AnyDesk silenciosamente. Antes del cifrado, un script llamado steal_tgs.ps1 empaqueta los datos de Telegram Desktop en archivos zip para robarlos.

Los investigadores también encontraron indicios de que el grupo utilizó modelos de lenguaje extenso (LLM). Algunos comandos y scripts completos contenían comentarios impecables, algo que los atacantes rara vez escriben.

Securelist vincula a Citrus con otro grupo de habla rusa, Toy Ghouls, porque ambos usan herramientas similares y han atacado a empresas rusas. Ataques como este encajan en la tendencia general de bandas de ransomware que reclaman más víctimas.

Para protegerte, debes limitar y revisar el acceso de los contratistas, crear alertas sobre nuevas GPO y cambios en el atributo gPLink, proteger las consolas de herramientas de seguridad y vigilar cambios inesperados en Defender. Securelist señala que el grupo utiliza mayormente métodos conocidos, lo que facilita la detección temprana.