Librarian Likho атакует российские компании ИИ-вредоносом

«Лаборатория Касперского» сообщила о новой волне целевых кибератак группы Librarian Likho (ранее известной как Librarian Ghouls). Под удар попали российские компании из авиационной и радиопромышленной отраслей. По данным экспертов, злоумышленники впервые применили вредонос собственной разработки, созданный с помощью ИИ.

Группа Librarian Likho действует против организаций в России и странах СНГ уже несколько лет.

Изначально, как отмечают в «Лаборатории Касперского», она не занималась шпионажем, но со временем начала охотиться за технической документацией, особенно за файлами систем автоматизированного проектирования (САПР). В числе её жертв — компании из сфер промышленности, телекоммуникаций, энергетики, строительства и образования.

Летом 2025 года специалисты уже фиксировали активность этой группы — тогда она проводила ночные атаки на российские организации.

Как проходит атака

Как и раньше, хакеры начинают с целенаправленного фишинга. Они рассылают письма с запароленными архивами, в которых находятся вредоносные файлы, замаскированные под платёжные поручения, коммерческие предложения или акты выполненных работ. Пароль к архиву указывается прямо в тексте письма — это помогает обойти антивирусные фильтры.

После запуска файла на устройстве жертвы активируется граббер — программа, собирающая документы, интересные злоумышленникам. Он сканирует профили пользователей и архивирует файлы форматов .doc, .pdf, .xls и других из папок Desktop, Downloads и Documents. Полученный архив злоумышленники отправляют на свою почту.

Вредонос с элементами ИИ

Анализ кода показал, что новый граббер создан с использованием ИИ-ассистента. Об этом свидетельствуют многочисленные отладочные комментарии, которые хакеры забыли удалить — типичная ошибка при машинной генерации кода.

«Раньше Librarian Likho не использовала собственные вредоносы, но в этой кампании группа отступила от привычной схемы. Судя по всему, злоумышленники решили перейти на саморазработку, а ИИ помог им ускорить процесс», — объясняет Олег Купреев, эксперт по кибербезопасности «Лаборатории Касперского».

По данным компании, продукты «Лаборатории Касперского» уже детектируют вредоносную программу, используемое в новой кампании, и способны блокировать подобные атаки.

Эксперты отмечают, что применение искусственного интеллекта при разработке вредоносов — тревожный тренд. Это упрощает жизнь злоумышленникам, позволяя им быстрее создавать и модифицировать инструменты для кибератак.