{"id":1414,"date":"2026-07-03T14:49:18","date_gmt":"2026-07-03T14:49:18","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/03\/likho-blindado-apunta-a-agencias-gubernamentales-y-al-sector-energetico-con-busysnake-stealer-cyberdefensa-mx\/"},"modified":"2026-07-03T14:49:18","modified_gmt":"2026-07-03T14:49:18","slug":"likho-blindado-apunta-a-agencias-gubernamentales-y-al-sector-energetico-con-busysnake-stealer-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/03\/likho-blindado-apunta-a-agencias-gubernamentales-y-al-sector-energetico-con-busysnake-stealer-cyberdefensa-mx\/","title":{"rendered":"Likho blindado apunta a agencias gubernamentales y al sector energ\u00e9tico con BusySnake Stealer \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Un actor de amenazas previamente indocumentado conocido como <b>Likho blindado<\/b> se ha atribuido a ataques cibern\u00e9ticos dirigidos a agencias gubernamentales y al sector de energ\u00eda el\u00e9ctrica en Rusia, Brasil y Kazajst\u00e1n.<\/p>\n<p>\u00abArmored Likho combina campa\u00f1as motivadas financieramente dirigidas a particulares con ciberespionaje dirigido a organizaciones\u00bb, Kaspersky <a href=\"https:\/\/securelist.com\/tr\/armored-likho-apt-with-busysnake-stealer\/120292\/\">dicho<\/a> en un an\u00e1lisis t\u00e9cnico publicado hoy. \u00abSu conjunto de herramientas incluye RAT modulares ofuscados y ladrones de informaci\u00f3n dise\u00f1ados espec\u00edficamente para eludir el an\u00e1lisis din\u00e1mico\u00bb.<\/p>\n<p>Los ataques tambi\u00e9n se caracterizan por el uso de herramientas como Go2Tunnel para acceso remoto y tunelizaci\u00f3n de red. La amplia variedad de herramientas en su arsenal permite al actor de amenazas mantener un acceso persistente a los hosts comprometidos, robar credenciales y datos confidenciales y entregar din\u00e1micamente m\u00f3dulos adaptados al perfil de la v\u00edctima.<\/p>\n<p>El proveedor ruso de ciberseguridad dijo que Armored Likho comparte posibles superposiciones con un grupo de amenazas rastreado por BI.ZONE bajo el nombre de Eagle Werewolf, que ha estado activo desde mayo de 2023. El grupo de hackers tiene un historial de apuntar a organizaciones gubernamentales y de defensa, espec\u00edficamente aquellas involucradas en el desarrollo y fabricaci\u00f3n de veh\u00edculos a\u00e9reos no tripulados, utilizando cuentagotas, troyanos de acceso remoto (RAT) y utilidades para establecer t\u00faneles SSH.<\/p>\n<p>\u00abLos actores de amenazas pueden utilizar canales de Telegram comprometidos para distribuir el malware\u00bb, BI.ZONE <a href=\"https:\/\/gti.bi.zone\/\">notas<\/a> en su descripci\u00f3n del actor de la amenaza. \u00abSi bien la principal motivaci\u00f3n del grupo es el ciberespionaje, tambi\u00e9n se han registrado campa\u00f1as destinadas a robar fondos a las v\u00edctimas\u00bb.<\/p>\n<p>En febrero de 2026, se observ\u00f3 a Eagle Werewolf comprometiendo un canal de Telegram centrado en drones para distribuir AquilaRAT a trav\u00e9s de un cuentagotas Rust que se hace pasar por una lista de verificaci\u00f3n para la activaci\u00f3n del dispositivo Starlink. Tambi\u00e9n se utiliza en los ataques Go2Tunnel para establecer un t\u00fanel SSH inverso a un servidor de comando y control (C2) utilizando una clave privada.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-vuln-protection-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjQl2axNwsfhbXOFynrg_uAZsvHi3OvNGSA8KJO-BKR8Xm3x7yjKV3EvfY4v5mwXx6LF0uWFb9h9d9iAV_Pi-YYhqimX9wx4OaLdDJEdR215Xrxq_PAtXkaLfQso4pTSjbj6fvh_ZTliLpzWZSZfcoZgyXtKwhN-SSDDlmbtUqGLshc0KqYQGWYHMN52Sl1\/s728-e100\/zz-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Los \u00faltimos hallazgos muestran que el actor de amenazas tambi\u00e9n ha empleado un ladr\u00f3n de informaci\u00f3n basado en Python no reportado anteriormente llamado BusySnake Stealer dirigido a sistemas Windows, una versi\u00f3n del cual incluye un m\u00f3dulo para robar cookies de navegadores web. Los or\u00edgenes exactos del Likho Blindado siguen siendo desconocidos.<\/p>\n<p>El punto de partida de la cadena de ataque es un correo electr\u00f3nico de phishing que utiliza se\u00f1uelos relacionados con avisos oficiales del gobierno o programas sociales para distribuir un archivo RAR que contiene binarios EXE que sirven como goteros para cargas \u00fatiles adicionales recuperadas de un repositorio de GitHub, incluida la carga \u00fatil del ladr\u00f3n.<\/p>\n<p>El malware dropper tambi\u00e9n crea dos archivos Visual Basic Script (VBScript) que son responsables de borrar los rastros de la ejecuci\u00f3n inicial, as\u00ed como de iniciar el ladr\u00f3n mediante una tarea programada.<\/p>\n<p>Las cadenas alternativas utilizan accesos directos de Windows (LNK) en lugar de cargas EXE que convierten en arma una vulnerabilidad ahora parcheada relacionada con la forma en que Windows maneja dichos archivos, lo que resulta en la ejecuci\u00f3n remota de c\u00f3digo. El defecto, rastreado como <a href=\"https:\/\/thehackernews.com\/2025\/12\/microsoft-silently-patches-windows-lnk.html\">CVE-2025-9491 (tambi\u00e9n conocido como ZDI-CAN-25373) fue abordado por Microsoft como parte de sus actualizaciones del martes de parches para noviembre de 2025. La evidencia descubierta por Trend Micro el a\u00f1o pasado revel\u00f3 que la deficiencia hab\u00eda sido utilizada como arma por una docena de grupos de piratas inform\u00e1ticos desde 2017.<\/a><\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjajcEszVn2a3upcLHhbQGEtTdSdJvSA_2ugcB4KzpeMjp3-Pz2t7QFTPd-mpHE80MLU0XRKe5lMYsLG2e4Tp7AndNCm1xZh1kHufn9TT-2l1ams39eKHYWxn8orLDQHGjx8M-42L5Wi3NF-CM8m00CCw_TCSt3V3kKPWcqI4H52zg-AmI3gf_7ChR-Gf70\/s1700-e365\/headers.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjajcEszVn2a3upcLHhbQGEtTdSdJvSA_2ugcB4KzpeMjp3-Pz2t7QFTPd-mpHE80MLU0XRKe5lMYsLG2e4Tp7AndNCm1xZh1kHufn9TT-2l1ams39eKHYWxn8orLDQHGjx8M-42L5Wi3NF-CM8m00CCw_TCSt3V3kKPWcqI4H52zg-AmI3gf_7ChR-Gf70\/s1700-e365\/headers.png\" alt=\"\" border=\"0\" data-original-height=\"893\" data-original-width=\"1216\"\/><\/a><\/div>\n<p>En la cadena de ataque documentada por Kaspersky, se abusa de la vulnerabilidad del acceso directo para desencadenar la ejecuci\u00f3n de un comando PowerShell ofuscado que lanza un cargador responsable de mostrar un documento se\u00f1uelo, mientras prepara el entorno para la ejecuci\u00f3n del ladr\u00f3n de Python. Luego, el malware establece persistencia mediante una combinaci\u00f3n de un archivo VBScript y una tarea programada, como antes.<\/p>\n<p>El ladr\u00f3n, llamado BusySnake, implementa m\u00faltiples t\u00e9cnicas de evasi\u00f3n para complicar el an\u00e1lisis est\u00e1tico y la detecci\u00f3n de elusiones. Su objetivo principal es establecer comunicaci\u00f3n con un servidor C2 y luego esperar instrucciones entrantes. Tambi\u00e9n admite la siguiente funcionalidad:<\/p>\n<ul>\n<li>Robar datos del portapapeles del sistema.<\/li>\n<li>Enumere archivos en todo el sistema y registre sus metadatos en una base de datos local.<\/li>\n<li>Cargue documentos de usuario al servidor C2.<\/li>\n<li>Realice capturas de pantalla y col\u00f3quelas en un directorio local.<\/li>\n<li>Archive las capturas de pantalla capturadas y elimine los archivos creados previamente del disco.<\/li>\n<li>Evite que se ejecuten varias instancias del ladr\u00f3n simult\u00e1neamente en el host infectado.<\/li>\n<li>Garantice la persistencia comprobando si la tarea programada existe y, en caso contrario, elimine un VBScript para registrar una nueva tarea programada.<\/li>\n<\/ul>\n<p>Adem\u00e1s, los comandos emitidos por el servidor C2 le permiten tomar capturas de pantalla en un intervalo designado, registrar datos de pulsaciones de teclas, recopilar archivos de billetera de criptomonedas con una extensi\u00f3n JSON, recopilar datos de credenciales y sesiones de Telegram, establecer un t\u00fanel SSH inverso usando Go2Tunnel, instalar RustDesk y extraer cookies de los navegadores basados \u200b\u200ben Mozilla Firefox y Chromium, junto con las contrase\u00f1as.<\/p>\n<p>Si RustDesk ya est\u00e1 instalado en la m\u00e1quina, se inicia el software de escritorio remoto de c\u00f3digo abierto y se le solicita a la v\u00edctima que ingrese sus credenciales, luego de lo cual el ladr\u00f3n toma una captura de pantalla de las credenciales y las filtra al servidor C2.<\/p>\n<p>\u00abEl malware descifra din\u00e1micamente su c\u00f3digo de bytes s\u00f3lo en el momento exacto en que se llama a una funci\u00f3n, volviendo a cifrar los datos inmediatamente despu\u00e9s\u00bb, dijo Kaspersky. \u00abAdem\u00e1s, el malware se ejecuta en segundo plano sin generar una ventana de consola, como lo indica su extensi\u00f3n de archivo PYW\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/sygnia-cyber-response-d-2\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhr7HGzx4ULDSqwnN820pPGxlPxqqVxKgIrI5II1iWdspOL6yHZsdB5lWoXU3LmhIU4dtnph89fLZ0CxrQSs-ufs6Mo4eD-d-Cpx-DsV1G15eC-phLACF7hyaKSIH1zIdj3AuD7lHSHnVelmKVMoVV-_zvtJuodsSIDKu6uSRfU6fZBkO-2PERqKSfIn6dA\/s728-e100\/sygnia-d-2.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Kaspersky dijo que tambi\u00e9n identific\u00f3 una versi\u00f3n m\u00e1s nueva de BusySnake que itera sobre el dise\u00f1o arquitect\u00f3nico del predecesor para incluir un nuevo marco de administraci\u00f3n de tareas para manejar los comandos C2 entrantes y asignarles din\u00e1micamente estados operativos, como PROGRAMADO, EN PROGRESO, EXITOSO o FALLADO, para mejorar los informes al servidor.<\/p>\n<p>Los v\u00ednculos del actor de amenazas con Eagle Werewolf tambi\u00e9n surgen de superposiciones entre AquilaRAT y BusySnake Stealer, particularmente en la forma en que ambas familias de malware reciben tareas del servidor C2, registran persistencia a trav\u00e9s de tareas programadas y utilizan puntos finales similares para las comunicaciones C2.<\/p>\n<p>Tambi\u00e9n hay indicios de que las cargas \u00fatiles de la primera etapa, que comprenden cargadores y etapas, probablemente se generaron con la ayuda de herramientas de inteligencia artificial (IA), dada la presencia de comentarios y bloques de c\u00f3digo redundantes.<\/p>\n<p>\u00abEsta campa\u00f1a destaca varias tendencias concurrentes: la creciente madurez t\u00e9cnica de Armored Likho, el polimorfismo de herramientas y un cambio hacia esquemas m\u00e1s complejos destinados a eludir las soluciones de seguridad, que van desde la ofuscaci\u00f3n del c\u00f3digo fuente de Python hasta la incorporaci\u00f3n de mecanismos de red directamente en el c\u00f3digo de malware\u00bb, dijo Kaspersky.<\/p>\n<p>\u00abEn paralelo, el grupo est\u00e1 refinando y modificando agresivamente su conjunto de herramientas principal. Si bien Go2Tunnel anteriormente operaba como una utilidad independiente, su funcionalidad de t\u00fanel inverso ahora se ha integrado directamente en el ladr\u00f3n como una caracter\u00edstica incorporada que ingiere par\u00e1metros del servidor C2\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Un actor de amenazas previamente indocumentado conocido como Likho blindado se ha atribuido a ataques cibern\u00e9ticos dirigidos a agencias gubernamentales y al sector de energ\u00eda el\u00e9ctrica en Rusia, Brasil y Kazajst\u00e1n. \u00abArmored Likho combina campa\u00f1as motivadas financieramente dirigidas a particulares con ciberespionaje dirigido a organizaciones\u00bb, Kaspersky dicho en un an\u00e1lisis t\u00e9cnico publicado hoy. \u00abSu conjunto [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[984,27,3505,3507,31,24,3506,363,3504,2117,532],"class_list":["post-1414","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-agencias","tag-apunta","tag-blindado","tag-busysnake","tag-con","tag-cyberdefensa-mx","tag-energetico","tag-gubernamentales","tag-likho","tag-sector","tag-stealer"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1414","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1414"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1414\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1414"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1414"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1414"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}