Armored Likho nhắm cơ quan chính phủ và ngành điện bằng BusySnake Stealer
"Kaspersky reported a previously undocumented threat actor, Armored Likho, targeting government agencies and the electric power sector in Russia, Brazil, and Kazakhstan using spear-phishing, droppers, RATs, and a new Python infostealer called BusySnake. The campaign abuses a patched Windows shortcut vulnerability, CVE-2025-9491 (ZDI-CAN-25373), to execute payloads, establish persistence via scheduled tasks and VBScript, and exfiltrate credentials, browser cookies, screenshots, and other sensitive data."
Nguy cơ cao do chuỗi tấn công kết hợp spear-phishing, khai thác CVE-2025-9491 và khả năng exfiltrate dữ liệu nhạy cảm (cookie, màn hình, credential).
Có thể gây gián đoạn và rò rỉ dữ liệu trong các tổ chức thuộc khu vực công và ngành điện, đặc biệt khi kẻ tấn công duy trì truy cập qua scheduled task và kênh điều khiển từ xa.
Một nhóm đe doạ chưa được ghi nhận trước đây, Armored Likho, được cho là nhắm vào cơ quan chính phủ và ngành điện tại Nga, Brazil và Kazakhstan. Theo phân tích kỹ thuật, chiến dịch kết hợp spear-phishing, bộ cài (droppers), RAT và một Python infostealer mới tên BusySnake Stealer, với mục tiêu thu thập dữ liệu và duy trì truy cập bền vững.
Chuỗi tấn công bắt đầu từ email mồi có nội dung liên quan thông báo/các chương trình xã hội, phân phối tệp nén RAR chứa EXE làm dropper. Biến thể khác khai thác Windows shortcut (LNK) để kích hoạt remote code execution thông qua lỗ hổng đã vá CVE-2025-9491 (ZDI-CAN-25373). Kaspersky mô tả việc lạm dụng lỗ hổng để chạy PowerShell đã bị làm rối, sau đó triển khai BusySnake.
BusySnake hỗ trợ trộm cookie trình duyệt, lấy dữ liệu clipboard, chụp màn hình, thu thập tệp ví tiền mã hoá, dữ liệu phiên/credential Telegram, và thiết lập reverse SSH tunnel bằng Go2Tunnel. Tính bền vững được tạo bằng scheduled task và VBScript. Khuyến nghị: rà soát hệ thống đã vá CVE-2025-9491, kiểm soát thực thi từ LNK/PowerShell, giám sát tạo tác scheduled task, và tăng cường phát hiện hành vi exfiltration cũng như kết nối tới máy chủ C2.