В кибератаках на госсектор и энергетику РФ выявлен стилер BusySnake, связанный с группой Armored Likho
Эксперты «Лаборатории Касперского» зафиксировали вредоносную кампанию, связанную с ранее неизвестной группой Armored Likho, атаки которой продолжаются в настоящий момент, как сообщили SecPost в компании. Жертвами злоумышленников, в первую очередь, становятся организации государственного и электроэнергетического секторов. На данный момент следы атак выявлены в России, Казахстане и Бразилии.
Основным вектором заражения является фишинг: злоумышленники рассылают письма с вредоносными архивами, тематика которых варьируется от предложений пройти психологический тест до оформления заявки на гуманитарную помощь. Для отвлечения внимания на устройстве жертвы запускается легитимное приложение-приманка или документ, после чего по многоэтапной цепочке загружается стилер BusySnake.
В ходе анализа специалисты обнаружили несколько версий данного зловреда, написанного на Python и ориентированного на Windows-системы, а также дополнительный модуль для кражи cookie-файлов. Отмечается, что BusySnake может похищать данные из буфера обмена, передавать конфиденциальные файлы на сервер злоумышленников и перехватывать пароли из Firefox и браузеров на базе Chromium. Кроме того, в исходном коде предусмотрены механизмы защиты от обнаружения и усложнения статического анализа, а используемые загрузчики, судя по анализу кода, были сгенерированы при помощи ИИ.
Группировка Armored Likho, по оценке «Лаборатории Касперского», совмещает кибершпионаж в отношении организаций и финансово мотивированные атаки на частных пользователей. В текущей кампании исследователи обратили внимание на развитие инструментария: если ранее Go2Tunnel использовался как отдельный инструмент, то теперь его функциональность интегрирована в стилер. Также архитектура BusySnake демонстрирует определенные сходства с другим инструментом группировки — AquilaRAT.
