Malware · alta
Grupo de ransomware Citrus usa directivas de grupo de Windows para desactivar Microsoft Defender
Nivel A · Parchea hoy – Antes de terminar la jornada
Quién está expuesto: Redes corporativas con Windows que usan directivas de grupo (GPO)
Nivel A porque: Infraestructura básica o herramienta popular Y se está explotando
Alcance
Ataque
Daño
Corrección
Herramienta popular · Se está explotando · Compromiso total
Lo esencial
- Un grupo de ransomware desconocido, llamado Citrus, usa las directivas de grupo de Windows (GPO) para propagar su malware por redes corporativas completas.
- Antes de cifrar archivos, los atacantes desactivan Microsoft Defender.
- Los atacantes entran con credenciales robadas.
Por qué importa
Si un atacante con credenciales válidas puede modificar las GPO, puede desplegar ransomware en toda la red y desactivar el antivirus antes de cifrar los datos, por lo que conviene revisar quién puede editar las directivas y cómo se protegen las credenciales.
La checklist detrás del nivel
Checklist · 4 de 10 con sí
| Sí | Afecta a equipos técnicos | Windows y sus directivas de grupo son usados por equipos de TI y operaciones en todo el mundo. |
| No | Infraestructura básica | Se abusa de una función legítima de administración de Windows, no de un fallo en software de infraestructura básica comprometido. |
| Sí | Herramienta popular | Las Directivas de Grupo de Windows y Microsoft Defender son herramientas muy extendidas en redes corporativas. |
| Sí | Se está explotando | RedesZone: un grupo de ransomware llamado Citrus está explotando esta función de Windows en ataques reales. |
| No | Exploit público | RedesZone y elhacker.NET describen el abuso, pero ninguna fuente menciona código de explotación publicado. |
| No | En remoto, sin credenciales | RedesZone: los atacantes entran con credenciales robadas, por lo que requieren autenticación. |
| Sí | Compromiso total | RedesZone: el malware se propaga por redes corporativas completas mediante GPO y desactiva Defender antes de cifrar. |
| No | Secretos expuestos | Las fuentes describen ransomware y cifrado; no mencionan robo ni exposición de datos o credenciales. |
| No | Cadena de suministro | Las fuentes describen abuso de directivas de administración, no compromiso de paquetes, actualizaciones o claves de firma. |
| No | Aún sin corrección | Las fuentes no indican que falte una corrección; se trata de un abuso de función y no de una vulnerabilidad sin parche. |
Cronología
Se publica la información sobre la campaña del grupo de ransomware Citrus
Blog elhacker.NET
Directivas de Grupo de Windows para desplegar Citrus Ransomware y desactivar Microsoft Defender
RedesZone : Portal sobre telecomunicaciones, redes y ciberseguridad
Un nuevo grupo de ciberdelincuentes está explotando una función de Windows para desactivar el antivirus
Cobertura completa · 2 fuentes
- hace 2 h ↗
RedesZone : Portal sobre telecomunicaciones, redes y ciberseguridad
Un nuevo grupo de ciberdelincuentes está explotando una función de Windows para desactivar el antivirus - hace 2 h ↗
Blog elhacker.NET
Directivas de Grupo de Windows para desplegar Citrus Ransomware y desactivar Microsoft Defender
Visto por primera vez · 2 fuentes · La noticia completa · Cómo se deciden los niveles