Armored Likho es un nuevo actor de amenazas que realiza ciberespionaje y robos financieros contra gobiernos y el sector eléctrico en Rusia, Brasil y Kazajistán. Utilizan herramientas avanzadas como el malware BusySnake y Go2Tunnel para robar datos, capturar credenciales y mantener acceso persistente. Sus ataques se basan en correos de phishing y vulnerabilidades de Windows, empleando posiblemente IA para desarrollar sus códigos.

Un actor de amenazas previamente indocumentado conocido como Armored Likho ha sido atribuido a ciberataques dirigidos a agencias gubernamentales y al sector de la energía eléctrica en Rusia, Brasil y Kazajistán.

"Armored Likho mezcla campañas motivadas financieramente dirigidas a personas privadas con ciberespionaje dirigido a organizaciones", afirmó Kaspersky en un análisis técnico publicado hoy aquí. "Su conjunto de herramientas cuenta con RATs modulares y ladrones de información (infostealers) ofuscados, diseñados específicamente para evadir el análisis dinámico".

Los ataques también se caracterizan por el uso de herramientas como Go2Tunnel para el acceso remoto y el tunelizado de redes. La amplia variedad de herramientas en su arsenal permite al actor de amenazas mantener el acceso persistente a los hosts comprometidos, robar credenciales y datos sensibles, y entregar dinámicamente módulos adaptados al perfil de la víctima.

El proveedor de ciberseguridad ruso señaló que Armored Likho comparte posibles coincidencias con un grupo de amenazas rastreado por BI.ZONE bajo el nombre de Eagle Werewolf, que ha estado activo desde mayo de 2023. El grupo de hacking tiene un historial de ataques a organizaciones gubernamentales y de defensa, específicamente aquellas involucradas en el desarrollo y fabricación de UAV, utilizando droppers, troyanos de acceso remoto (RATs) y utilidades para establecer túneles SSH.

"Los actores de amenazas pueden utilizar canales de Telegram comprometidos para distribuir el malware", señala BI.ZONE en su descripción del actor de amenazas. "Aunque la motivación principal del grupo es el ciberespionaje, también se han registrado campañas destinadas a robar fondos de las víctimas".

En febrero de 2026, se observó que Eagle Werewolf comprometió un canal de Telegram centrado en drones para distribuir AquilaRAT a través de un dropper de Rust que se hace pasar por una lista de verificación para la activación de dispositivos Starlink. También se utiliza en los ataques Go2Tunnel para establecer un túnel SSH inverso a un servidor de comando y control (C2) mediante una clave privada.

Los hallazgos más recientes muestran que el actor de amenazas también ha empleado un ladrón de información basado en Python previamente no reportado llamado BusySnake Stealer dirigido a sistemas Windows; una versión del mismo incluye un módulo para robar cookies de los navegadores web. Los orígenes exactos de Armored Likho siguen siendo desconocidos.

El punto de partida de la cadena de ataque es un correo electrónico de spear-phishing que utiliza señuelos relacionados con avisos gubernamentales oficiales o programas sociales para distribuir un archivo RAR que contiene binarios EXE que sirven como droppers para cargas útiles adicionales recuperadas de un repositorio de GitHub, incluyendo la carga útil del stealer.

El malware dropper también crea dos archivos de Visual Basic Script (VBScript) que se encargan de borrar el rastro de la ejecución inicial, así como de lanzar el stealer mediante una tarea programada.

Otras cadenas utilizan accesos directos de Windows (LNK) en lugar de cargas útiles EXE que aprovechan una vulnerabilidad ya parcheada relacionada con la forma en que Windows maneja dichos archivos, lo que resulta en la ejecución remota de código. El fallo, rastreado como CVE-2025-9491 (también conocido como ZDI-CAN-25373), fue solucionado por Microsoft como parte de sus actualizaciones de Patch Tuesday de noviembre de 2025. Pruebas descubiertas por Trend Micro el año pasado revelaron que la deficiencia había sido explotada por una docena de grupos de hacking desde 2017.



En la cadena de ataque documentada por Kaspersky, se abusa de la vulnerabilidad de los accesos directos para activar la ejecución de un comando de PowerShell ofuscado que lanza un cargador responsable de mostrar un documento señuelo, mientras prepara el entorno para la ejecución del stealer de Python. El malware luego establece la persistencia a través de una combinación de un archivo VBScript y una tarea programada, como se mencionó anteriormente.

El funcionamiento de busysnake

El stealer, llamado BusySnake, implementa múltiples técnicas de evasión para complicar el análisis estático y evitar la detección. Su objetivo principal es establecer comunicación con un servidor C2 y luego esperar instrucciones entrantes. También soporta las siguientes funcionalidades:

* Robar datos del portapapeles del sistema.
* Enumerar archivos en todo el sistema y registrar sus metadatos en una base de datos local.
* Subir documentos del usuario al servidor C2.
* Capturar capturas de pantalla y almacenarlas en un directorio local.
* Archivar las capturas de pantalla capturadas y eliminar los archivos creados previamente del disco.
* Evitar que se ejecuten múltiples instancias del stealer simultáneamente en el host infectado.
* Asegurar la persistencia verificando si existe la tarea programada y, si no es así, soltando un VBScript para registrar una nueva tarea.

Además, los comandos emitidos por el servidor C2 le permiten tomar capturas de pantalla a intervalos designados, registrar datos de pulsaciones de teclas (keylogging), recopilar archivos de billeteras de criptomonedas con extensión JSON, recolectar datos de sesión y credenciales de Telegram, establecer un túnel SSH inverso usando Go2Tunnel, instalar RustDesk y extraer cookies y contraseñas de Mozilla Firefox y navegadores basados en Chromium.

Si RustDesk ya está instalado en la máquina, se inicia el software de escritorio remoto de código abierto y se pide a la víctima que introduzca sus credenciales, tras lo cual el stealer toma una captura de pantalla de las mismas y la exfiltra al servidor C2.

"El malware descifra dinámicamente su código de bytes solo en el momento exacto en que se llama a una función, volviendo a cifrar los datos inmediatamente después", dijo Kaspersky. "Adicionalmente, el malware se ejecuta en segundo plano sin generar una ventana de consola, como indica su extensión de archivo PYW".

Kaspersky señaló que también identificó una versión más reciente de BusySnake que itera sobre el diseño arquitectónico de su predecesor para incluir un nuevo marco de gestión de tareas para manejar los comandos entrantes del C2 y asignarles dinámicamente estados operativos, como SCHEDULED, IN_PROGRESS, SUCCEEDED o FAILED, para mejorar los informes enviados al servidor.

Los vínculos del actor de amenazas con Eagle Werewolf también provienen de coincidencias entre AquilaRAT y BusySnake Stealer, particularmente en la manera en que ambas familias de malware reciben tareas del servidor C2, registran persistencia mediante tareas programadas y utilizan endpoints similares para las comunicaciones C2.

También hay indicios de que las cargas útiles de la primera etapa, que comprenden cargadores y stagers, probablemente fueron generadas con la ayuda de herramientas de inteligencia artificial (IA), dada la presencia de comentarios y bloques de código redundantes.

"Esta campaña resalta varias tendencias concurrentes: la creciente madurez técnica de Armored Likho, el polimorfismo de las herramientas y un cambio hacia esquemas más complejos destinados a evadir las soluciones de seguridad, que van desde la ofuscación del código fuente de Python hasta la integración de mecanismos de red directamente en el código del malware", afirmó Kaspersky.

"En paralelo, el grupo está refinando y modificando agresivamente su conjunto básico de herramientas. Mientras que Go2Tunnel operaba anteriormente como una utilidad independiente, su funcionalidad de tunelización inversa se ha integrado ahora directamente en el stealer como una característica integrada que ingiere parámetros del servidor C2".

Fuente:
THN