تم تحديد مجموعة Citrus Ransomware، التي لم يتم توثيقها سابقاً، باستخدام نهج هجين يجمع بين التقنيات التقليدية والحديثة. تستخدم المجموعة أنفاق VLESS لتخفي حركة المرور الخاصة بها كأنها HTTPS عادية، مما يجعل اكتشافها صعباً.
تستخدم المجموعة برمجية فدية من عائلة Sn00py وتكتسب الوصول الأولي إلى بنية الضحايا التحتية من خلال مقاولين مخترقين. يستخدمون بيانات الاعتماد المسروقة من موظفي المقاولين للاتصال بشبكات VPN الخاصة بالشركات أو الخوادم الطرفية المتصلة بالإنترنت عبر RDP.
تحاول Citrus Ransomware استغلال ثغرة تجاوز المصادقة CVE-2026-54121، والمعروفة أيضاً باسم Certighost. يقوم المهاجمون بإنشاء مهام مجدولة لتشغيل أدواتهم الخبيثة تلقائياً، مستهدفين خوادم 1C:Enterprise ذات التكوينات غير الآمنة.
لإعاقة استجابة الحوادث، يقوم المهاجمون بحذف أدواتهم وملفات الإخراج. كما يستخدمون أسماء تبدو شرعية لأدواتهم لتجنب الاكتشاف.