Librarian Likho начала использовать ИИ для разработки собственной вредоносной программы

«Лаборатория Касперского» обнаружила новую волну целевых кибератак группы Librarian Likho (ранее — Librarian Ghouls), направленную на российские организации из сфер авиа- и радиопромышленности. В кампании, которая продолжается с сентября 2025 года, злоумышленники впервые начали использовать для кражи конфиденциальной информации вредоносное ПО собственной разработки. Анализ указывает на то, что оно написано с использованием ИИ.

Librarian Likho — это группа, которая проводит сложные целевые кибератаки на организации в России и странах СНГ. Изначально исследователи «Лаборатории Касперского» включили её в кластер Ghouls, так как злоумышленники не преследовали цель кибершпионажа. Однако позднее группа начала охотиться за файлами, характерными для систем автоматизированного проектирования. В числе целей — промышленность, телекоммуникации, строительство, образование, энергетика. В июне 2025 года стало известно о ночных кибератаках группы против российских организаций. Подробный анализ активности, а также тактики, техники и процедуры Librarian Likho описаны в аналитическом отчёте команды Kaspersky Cyber Threat Intelligence «Записки цифрового ревизора: три кластера угроз в киберпространстве».

Для получения первоначального доступа злоумышленники прибегают к своей «классической» тактике. Они рассылают целевые фишинговые письма с запароленными архивами, внутри которых содержатся вредоносные исполняемые файлы. Обычно атакующие маскируют их под сообщения от реальных организаций. Для приманки используются файлы, имитирующие официальные документы, например платёжные поручения, коммерческие предложения, акты выполненных работ. Заражение происходит после того, как жертва откроет архив, извлечёт и запустит его содержимое. Пароль к нему, как правило, указан в теле письма. Группа прибегает к такой уловке, чтобы затруднить обнаружение защитными решениями.

На заражённом устройстве жертвы запускается граббер — зловред, который собирает документы, представляющие интерес для атакующих. Анализ кода показал, что злоумышленники пользовались ИИ-ассистентом для его разработки. Вредоносное ПО перебирает профили пользователей, зарегистрированных в заражённой системе, и собирает в архив файлы с расширениями .doc, .docx, .pdf, .txt, .xls, .xlsx, расположенные в папках Desktop, Downloads, Documents. После архив отправляется на электронную почту злоумышленников.

«Отличительной чертой Librarian Likho является то, что группа не использует собственные вредоносные программы. Однако на этот раз злоумышленники решили отступить от этого правила. В новой кампании атакующие обзавелись своими разработками. Причём всё указывает на то, что они созданы с использованием ИИ-ассистента. Такой вывод мы сделали по наличию множества отладочных комментариев в коде граббера, которые злоумышленники не потрудились удалить», — комментирует Олег Купреев, эксперт по кибербезопасности в «Лаборатории Касперского».