Пентест WEB: практический курс для начинающих
Аналитики «Лаборатории Касперского» обнаружили новую кампанию группировки Armored Likho (она же Eagle Werewolf). На этот раз атакующие нацелились на российские госструктуры, ИТ-компании, образовательные организации и частных пользователей. В арсенале группировки появился новый набор малвари Still Toolkit, который позволяет похищать данные из Telegram и вести скрытую прослушку через микрофон зараженного устройства.
Новая кампания была обнаружена еще в мае 2026 года. Для первоначального заражения злоумышленники используют поддельное приложение, которое имитирует сервис для отправки помощи подопечным благотворительных фондов. Так, исследователи получили несколько образцов, замаскированных под приложения фондов «ЗаЩИТа», «Братское сердце» и «Защитники Отечества». При этом пока неизвестно, как именно распространяется дроппер.
Приложение написано на Rust с использованием Tauri и выглядит настоящим: после запуска оно просит ввести пароль (который жертвам, предположительно, заранее сообщают атакующие), а затем отображает каталог товаров для гуманитарной помощи. Данные о товарах действительно подгружаются с удаленного сервера, а ссылки в каталоге работают. Пока жертва изучает ассортимент, дроппер расшифровывает и запускает вредоносный пейлоад.
Главной находкой исследователей стал Still Toolkit, состоящий из двух компонентов. Первый, Still Sync, ворует каталог tdata Telegram Desktop с данными активной сессии. Получив эти файлы, малварь может авторизоваться в аккаунте жертвы и через Telegram API выгрузить переписку, информацию о чатах и участниках, а также фотографии, документы, стикеры и прочие медиафайлы.
Для поиска tdata Still Sync проверяет стандартные каталоги Telegram, версию из Microsoft Store и, при соответствующей настройке, весь диск C:\. Если обычное чтение файлов не срабатывает, вредонос может задействовать SeBackupPrivilege, Shadow Copy или Robocopy в режиме резервного копирования.
Второй компонент, Still Audio, предназначен для аудиошпионажа. Малварь анализирует сигнал, поступающий с микрофона зараженного устройства, и начинает запись только в случае обнаружения речи. Когда наступает тишина, запись прекращается, кодируется в MP3 и отправляется на управляющий сервер атакующих. При этом скрывать использование микрофона малварь не пытается: исследованный специалистами образец IntAudio.exe прямо отображался в настройках Windows под именем Intel Audio.
Отмечается, что оба компонента вредоноса написаны на Rust, имеют схожую архитектуру и используют общие принципы связи с управляющим сервером. Кроме того, Still Audio способен получать резервный адрес управляющего сервера с GitHub, если основной C2 недоступен несколько дней. Для шифрования этой конфигурации применяется тот же алгоритм и ключ, которые ранее встречались в AquilaRAT из арсенала Armored Likho.
По мнению специалистов, такие совпадения вместе с архитектурой дроппера и особенностями инфраструктуры позволяют с высокой уверенностью связать новую кампанию с Armored Likho. Исследователи отмечают, что группа постепенно выстраивает собственную экосистему инструментов для длительных кибершпионских операций и теперь может собирать данные сразу из нескольких каналов.
