Armored Likho alza la posta con loader generati da AI
La parte più insidiosa non è il singolo stealer, ma il fatto che il fronte iniziale della campagna cambia forma abbastanza in fretta da rendere fragile la detezione a firma. Armored Likho usa spear-phishing per entrare con allegati apparentemente ufficiali, poi affida a loader e stager generati da AI il compito di aprire la strada a una catena modulare di furto credenziali e cookie, più facile da variare e più difficile da attribuire.
Kaspersky descrive una campagna attiva contro agenzie governative e settore elettrico in Russia, Kazakhstan e Brasile, e segnala anche BusySnake Stealer, un nuovo infostealer Python per Windows non documentato prima. Il quadro non è quello di un malware monolitico, ma di uno stack sostituibile: se un primo stadio viene bloccato, l’attore può rigenerarlo e mantenere lo stesso obiettivo operativo.
Per i team SOC, il segnale da leggere è questo: i controlli che cercano un ceppo fisso rischiano di inseguire solo la maschera esterna, non la campagna.