Nombres Alternativos / Aliases
- Armored Likho (Grupo APT)
- Eagle Werewolf (Cluster relacionado según BI.ZONE)
- BusySnake Stealer (Malware principal)
- BusySnake Campaign (Campaña de robo de información)
- Go2Tunnel Operation (Por la herramienta de tunelización)
Fecha de Detección / Actividad
- Fecha del informe de Kaspersky: 3 de julio de 2026
- Actividad del grupo Eagle Werewolf: Desde mayo de 2023
- Compromiso de canal de Telegram (Eagle Werewolf) : Febrero de 2026
- Países afectados: Rusia, Brasil y Kazajstán
- Sectores objetivo: Agencias gubernamentales y sector eléctrico
- Estado: Activa (en el momento del informe)
Actor de Amenaza (Atribución)
| Característica
|
Detalle
|
| Nombre del Actor
|
Armored Likho (Kaspersky) / Eagle Werewolf (BI.ZONE)
|
| Vínculo Gubernamental
|
No confirmado (posible APT)
|
| Tipo de Actor
|
Ciberespionaje + actividades con fines lucrativos
|
| Sofisticación
|
ALTA. El grupo demuestra:
|
- Herramientas ofuscadas, modulares (RATs y infostealers) diseñadas para eludir análisis dinámico
- Uso de vulnerabilidades como CVE-2025-9491 (LNK) y CVE-2025-9491 (ZDI-CAN-25373)
- Integración de tunelización reversa SSH directamente en el malware
- Uso de inteligencia artificial para generar cargas útiles de primera etapa
- Polimorfismo de herramientas y evolución constante | | Motivación | Ciberespionaje (principal) + financiera (secundaria) | | Origen | Desconocido (posibles vínculos con hablantes de ruso) |
Resumen Ejecutivo
Un grupo de ciberdelincuentes hasta ahora no documentado, conocido como Armored Likho (y posiblemente vinculado al cluster Eagle Werewolf), ha sido identificado por Kaspersky como responsable de ciberataques dirigidos contra agencias gubernamentales y el sector eléctrico en Rusia, Brasil y Kazajstán .
Características del grupo
"Armored Likho combina campañas con fines lucrativos dirigidas a particulares con ciberespionaje dirigido a organizaciones. Su conjunto de herramientas incluye troyanos de acceso remoto (RAT) modulares y programas de robo de información diseñados específicamente para eludir el análisis dinámico."
— Kaspersky
Herramientas principales
| Herramienta
|
Propósito
|
| BusySnake Stealer
|
Infostealer basado en Python para Windows; robo de cookies, contraseñas, capturas de pantalla, keylogging, datos de Telegram y monederos de criptomonedas
|
| Go2Tunnel
|
Tunelización SSH inversa para acceso remoto (ahora integrado en BusySnake)
|
| AquilaRAT
|
RAT usado por Eagle Werewolf; similaridades con BusySnake en gestión de tareas y persistencia
|
| RustDesk
|
Software de escritorio remoto legítimo, abusado para obtener acceso
|
Vector de Ataque / Métodos de Distribución
Vector principal: Spear-phishing
El punto de partida de la cadena de ataque es un correo electrónico de spear-phishing que utiliza señuelos relacionados con:
- Avisos gubernamentales oficiales
- Programas sociales
- Pruebas psicológicas (señuelo identificado por Kaspersky)
- Solicitudes de ayuda humanitaria
Cadena de infección
| Fase
|
Descripción
|
| 1. Correo de phishing
|
Distribuye un archivo RAR que contiene binarios EXE o LNK
|
| 2. Descarga de payloads
|
Los binarios actúan como lanzadores que obtienen cargas útiles adicionales de un repositorio de GitHub
|
| 3. Ejecución de BusySnake
|
El malware de descarga crea dos archivos VBScript que borran rastros de ejecución y lanzan el stealer mediante una tarea programada
|
| 4. Alternativa con LNK
|
Se utiliza CVE-2025-9491 para ejecutar comandos PowerShell ofuscados que despliegan el cargador y el stealer
|
CVE-2025-9491: Vulnerabilidad de archivos LNK
| Característica
|
Detalle
|
| CVE
|
CVE-2025-9491 (también ZDI-CAN-25373)
|
| Tipo
|
Error de representación de UI en archivos LNK de Windows que permite ocultar contenido peligroso
|
| Estado
|
Parcheado por Microsoft en noviembre de 2025
|
| Histórico
|
Explotado por más de una docena de grupos de hackers desde 2017
|
La vulnerabilidad permite que los atacantes creen archivos LNK con comandos maliciosos ocultos mediante espacios en blanco u otros caracteres no imprimibles, de modo que al ver las propiedades del archivo en Windows, el campo "Destino" parece inofensivo .
Detalle Técnico: BusySnake Stealer
Características de evasión
| Técnica
|
Descripción
|
| Descifrado dinámico de bytecode
|
El malware descifra su código solo en el momento exacto en que se llama a una función, volviendo a cifrar los datos inmediatamente después
|
| Ejecución en segundo plano
|
Se ejecuta sin ventana de consola (extensión PYW)
|
| Ofuscación de código fuente
|
Código Python ofuscado para complicar el análisis estático
|
Funcionalidades principales
| Capacidad
|
Descripción
|
| Robo de portapapeles
|
Captura de datos del portapapeles del sistema
|
| Enumeración de archivos
|
Escaneo de todo el sistema, registro de metadatos en base de datos local
|
| Exfiltración de documentos
|
Subida de documentos de usuario al servidor C2
|
| Captura de pantalla
|
Toma y archivado de capturas; eliminación de archivos previos
|
| Keylogging
|
Registro de pulsaciones de teclas
|
| Robo de criptomonedas
|
Recopilación de archivos de monederos con extensión JSON
|
| Robo de Telegram
|
Datos de sesión y credenciales de Telegram
|
| Tunelización SSH inversa
|
Integración de funcionalidad Go2Tunnel como función nativa
|
| Instalación de RustDesk
|
El malware puede instalar RustDesk y capturar las credenciales que introduce la víctima
|
| Robo de cookies y contraseñas
|
Extracción de cookies y contraseñas de navegadores Firefox y Chromium
|
Gestión de tareas (versión mejorada)
Una versión más reciente de BusySnake incluye un marco de gestión de tareas que permite:
| Estado
|
Descripción
|
| SCHEDULED
|
Tarea programada para ejecución
|
| IN_PROGRESS
|
Tarea en curso
|
| SUCCEEDED
|
Tarea completada con éxito
|
| FAILED
|
Tarea fallida
|
Este sistema mejora la comunicación con el servidor C2 y permite un control más preciso de las operaciones .
Persistencia
BusySnake garantiza la persistencia mediante:
- Verificación de existencia de tarea programada
- Creación de script VBScript para registrar nueva tarea programada si no existe
Relación con Eagle Werewolf
| Aspecto
|
Evidencia
|
| AquilaRAT vs BusySnake
|
Similitudes en la forma de recibir tareas del servidor C2
|
| Persistencia
|
Ambas familias registran persistencia mediante tareas programadas
|
| Endpoints C2
|
Uso de puntos finales similares para comunicaciones C2
|
| Go2Tunnel
|
Ambas utilizan Go2Tunnel para tunelización SSH inversa
|
| Actividad previa (Eagle Werewolf)
|
Compromiso de canal de Telegram sobre drones en febrero de 2026 para distribuir AquilaRAT
|
"Los vínculos del actor de amenazas con Eagle Werewolf también se derivan de las similitudes entre AquilaRAT y BusySnake Stealer, en particular en la forma en que ambas familias de malware reciben tareas del servidor C2, registran la persistencia a través de tareas programadas y utilizan puntos finales similares para las comunicaciones C2."
— Kaspersky
Uso de Inteligencia Artificial por el Actor
Kaspersky identificó indicios de que las cargas útiles de primera etapa (cargadores y preparadores) fueron generadas con herramientas de inteligencia artificial :
| Indicador
|
Descripción
|
| Comentarios redundantes
|
Presencia de comentarios excesivos típicos de generación por IA
|
| Bloques de código redundantes
|
Código innecesario que delata automatización
|
"Esta campaña pone de relieve varias tendencias simultáneas: la creciente madurez técnica de Armored Likho, el polimorfismo de las herramientas y un cambio hacia esquemas más complejos destinados a eludir las soluciones de seguridad, que van desde la ofuscación del código fuente de Python hasta la integración de mecanismos de red directamente en el código del malware."
— Kaspersky
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Alcance geográfico
|
ALTO
|
Rusia, Brasil, Kazajstán
|
| Sectores objetivo
|
CRÍTICOS
|
Agencias gubernamentales, sector eléctrico
|
| Capacidad de evasión
|
MUY ALTA
|
Ofuscación dinámica, descifrado de bytecode, ejecución en segundo plano
|
| Persistencia
|
ALTA
|
Tareas programadas, scripts VBScript
|
| Impacto en datos
|
MUY ALTO
|
Robo de credenciales, cookies, documentos, datos de Telegram, monederos de criptomonedas
|
Consecuencias potenciales
| Consecuencia
|
Gravedad
|
Detalle
|
| Robo de credenciales
|
Crítica
|
Contraseñas de navegadores, datos de Telegram
|
| Acceso remoto persistente
|
Crítica
|
Túneles SSH inversos, RustDesk
|
| Exfiltración de documentos
|
Alta
|
Documentos de usuario enviados al C2
|
| Robo de criptomonedas
|
Alta
|
Archivos de monederos con extensión JSON
|
| Keylogging
|
Alta
|
Captura de pulsaciones de teclas
|
| Captura de pantalla
|
Media
|
Monitoreo de actividad del usuario
|
Recomendaciones de Mitigación
Para organizaciones
| Acción
|
Prioridad
|
Descripción
|
| Aplicar parches de Windows
|
CRÍTICA
|
CVE-2025-9491 fue parcheado en noviembre de 2025
|
| Monitorear archivos LNK
|
ALTA
|
Especialmente aquellos con comandos largos (>260 caracteres)
|
| Bloquear correos con archivos RAR sospechosos
|
ALTA
|
Especialmente con temáticas gubernamentales o sociales
|
| Auditar tareas programadas
|
ALTA
|
Buscar tareas con nombres genéricos o scripts VBScript
|
| Monitorear tráfico a GitHub
|
ALTA
|
Descargas de payloads desde repositorios no autorizados
|
| Detectar instalaciones de RustDesk
|
ALTA
|
Especialmente si no autorizadas
|
| Bloquear tráfico SSH saliente
|
MEDIA
|
A menos que sea necesario
|
Para defensores
| Herramienta/Capacidad
|
Propósito
|
| Kaspersky Endpoint Detection and Response Expert
|
Detección de la actividad de Armored Likho
|
| Monitoreo de procesos Python
|
Detectar ejecución de scripts PYW en segundo plano
|
| Análisis de archivos LNK
|
Verificar comandos ocultos >260 caracteres
|
| Monitoreo de tareas programadas
|
Buscar tareas que ejecuten scripts VBScript
|
Contexto Más Amplio: Evolución de la Vulnerabilidad CVE-2025-9491
| Fecha
|
Evento
|
| Desde 2017
|
Explotación de la vulnerabilidad por múltiples grupos
|
| Marzo 2025
|
ZDI revela que 11 grupos estatales la explotaban
|
| Octubre 2025
|
Arctic Wolf reporta uso por Mustang Panda contra entidades europeas
|
| Noviembre 2025
|
Microsoft parchea silenciosamente CVE-2025-9491
|
| Junio 2026
|
Armored Likho aún utiliza la vulnerabilidad en sus ataques
|
Opiniones de Expertos
"Armored Likho combina campañas con fines lucrativos dirigidas a particulares con ciberespionaje dirigido a organizaciones. Su conjunto de herramientas incluye troyanos de acceso remoto (RAT) modulares y programas de robo de información diseñados específicamente para eludir el análisis dinámico."
— Kaspersky
"El malware descifra dinámicamente su código de bytes solo en el momento exacto en que se llama a una función, volviendo a cifrar los datos inmediatamente después. Además, el malware se ejecuta en segundo plano sin abrir una ventana de consola, como indica su extensión de archivo PYW."
— Kaspersky
"Esta campaña pone de relieve varias tendencias simultáneas: la creciente madurez técnica de Armored Likho, el polimorfismo de las herramientas y un cambio hacia esquemas más complejos destinados a eludir las soluciones de seguridad, que van desde la ofuscación del código fuente de Python hasta la integración de mecanismos de red directamente en el código del malware."
— Kaspersky
Referencias y Fuentes
- Lakshmanan, R. (2026, 3 de julio). Armored Likho Targets Government Agencies, Power Sector with BusySnake Stealer. The Hacker News.
- Kaspersky. (2026, 3 de julio). Armored Likho digging a snake pit: inside the covert BusySnake Stealer campaign. Securelist.
- Kaspersky. (2026, 3 de julio). Приложение-приманку под видом психологического теста используют для кибератак на госсектор и энергетику РФ и других стран. CNews.
- NIST National Vulnerability Database. (2025). *CVE-2025-9491*.
- ZDI. (2025). ZDI-CAN-25373 - Microsoft Windows LNK File UI Misrepresentation RCE Vulnerability.
- The Register. (2025, 4 de diciembre). Microsoft quietly shuts down Windows shortcut flaw after years of espionage abuse.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-07-03
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en informes de Kaspersky, Securelist y The Hacker News
|
Indicadores de Compromiso (IOCs)
Técnicas y Herramientas
| Tipo
|
Indicador
|
| Malware
|
BusySnake Stealer (Python)
|
| Malware
|
AquilaRAT
|
| Herramienta
|
Go2Tunnel (tunelización SSH)
|
| RMM abusado
|
RustDesk
|
| Vulnerabilidad
|
CVE-2025-9491 (ZDI-CAN-25373)
|
| Archivos
|
Archivos RAR con EXE o LNK
|
| Archivos
|
Scripts VBScript para persistencia
|
| Archivos
|
Archivos PYW (Python sin consola)
|
| Mecanismo
|
Tareas programadas de Windows
|
| Infraestructura
|
Repositorios de GitHub para payloads
|
Comportamiento a monitorear
| Categoría
|
Comportamiento
|
| Correos
|
Phishing con temáticas gubernamentales o sociales
|
| Archivos LNK
|
Con comandos largos (>260 caracteres)
|
| Procesos
|
wscript.exe ejecutando scripts VBScript
|
| Procesos
|
python.exe o pythonw.exe ejecutando PYW
|
| Tareas programadas
|
Nombres genéricos que ejecutan VBScript
|
| Tráfico de red
|
Conexiones SSH salientes no autorizadas
|
| Tráfico de red
|
Descargas desde GitHub no autorizadas
|
| Software
|
Instalación no autorizada de RustDesk
|
Etiquetas / Categorías
armored-likho eagle-werewolf busysnake-stealer apt-cyber-espionage russia-brazil-kazakhstan-government-targeting energy-sector-phishing go2tunnel-ssh-tunneling aquilarat-ransomware cve-2025-9491-lnk-flaw python-infostealer ai-generated-malware
