Исследователи Лаборатории Касперского продолжают отслеживать активность Leek Likho (также известной как SkyCloak или Vortex Werewolf).

Группировка впервые была описана исследователями в 2025 году, когда стало известно о серии целевых атак на организации из госсектора России и Беларуси в рамках кампании под названием Операция SkyCloak.

В ЛК заметили продолжение ее активности на протяжении февраля–апреля 2026 года, а также обнаружили новую технику, которую злоумышленники используют для эксфильтрации файлов.

Основная схема заражения осталась прежней: злоумышленники распространяют через социнженерию с использованием Telegram вредоносные архивы с файлами-приманками, внутри которых находятся LNK с двойным расширением и еще один архив, содержащий набор инструментов.

Злоумышленники маскируют доставку вредоносного содержимого под легитимные файлообменные механизмы, например ссылки, имитирующие Telegram-файлы или страницы загрузки.

В некоторых случаях атакующие используют сервис Dropbox. Переход по таким ссылкам приводит к скачиванию специально подготовленного архива с файлами.

Запуск LNK-файла инициирует цепочку выполнения PowerShell-скриптов, выступающих в роли загрузчиков и устанавливающих задачи по расписанию.

В частности, после того как пользователь запускает ярлык, начинается выполнение содержащейся в нем командной строки. Это инструмент для запуска вредоносной нагрузки второго этапа - LeekSower.

В свою очередь, он запускает новый скрытый процесс PowerShell, в котором выполняется команда gc, которая читает содержимое файла action и передает его на исполнение как PowerShell-код.

Затем происходит запуск следующего этапа вредоносной нагрузки, которая была скрыта в одном из файлов вложенного архива. Этот код является инструментом LeekGerminator, который производит установку и настройку всех распакованных инструментов.

Таким образом в системе будут запускаться инструменты удаленного доступа через Tor и ssh, через которые происходит соединение с управляющим сервером.

После этого в зараженную систему загружается инструмент для эксфильтрации rclone, который собирает файлы с хоста жертвы и выгружает их по установленному соединению с командным центром.

Собранные данные выгружаются с хоста по протоколу S3 в удаленный репозиторий aunion через установленный туннель на 12191 порту. При этом атакующий создает задачу по расписанию, которая выполняет закодированный PowerShell-скрипт - это инструмент LeekYield.

Для маскировки сетевого взаимодействия применяется транспорт obfs4, позволяющий затруднить выявление Tor-трафика средствами сетевого мониторинга.

Причем в ЛК заметили возможное использование LLM для генерации как самих скриптов, так и их имен под каждую цель.

Принцип работы вредоносных инструментов при этом остается одинаковым. Таким подходом Leek Likho пытается снизить эффективность детектирования.

Все технические подробности и IOCs - в отчете.