Исследователи «Лаборатории Касперского» сообщили об атаках группировки Leek Likho, известной также как SkyCloak и Vortex Werewolf. Атаки продолжались с февраля по апрель 2026 года и были нацелены преимущественно на государственные организации России и Беларуси. Главная цель кампании сводится к скрытому закреплению в системе, получению удалённого доступа через Tor и SSH, а затем выгрузке документов и файлов с компьютера жертвы.
Leek Likho впервые подробно описали в 2025 году после серии целевых атак на госсектор России и Беларуси. Та кампания получила название «Операция SkyCloak». Новая весенняя активность показывает продолжение работы группы с обновлённой техникой эксфильтрации файлов.

Интересно, что Leek Likho использует переименованные легитимные программы вроде Tor и OpenSSH под именами вроде datagrip.exe и messenger.exe, и подобная маскировка серьёзно усложняет обнаружение.

Первоначальный доступ строится на социальной инженерии через Telegram. Жертве отправляют ссылку, выглядящую как обычная передача файла или страница загрузки. В некоторых случаях используется Dropbox. Если открыть архив штатным архиватором Windows, внутри видно нечто похожее на обычный PDF-документ. Просмотр через 7-Zip показывает ярлык с двойным расширением .pdf.lnk.
Внутри архива находится набор инструментов с переименованными легитимными программами:

datagrip.exe в виде программы Tor;
atom.exe как lyrebird.exe из Tor Browser;
messenger.exe в роли sshd.exe из OpenSSH;
reaper.exe как sftp.exe для передачи файлов;
ssh-shellhost.exe вместо ssh.exe для подключений.

LeekSower запускает PowerShell и ищет исходный архив через where.exe. Затем скрипт собирает команду Expand-Archive по частям для усложнения обнаружения, распаковывает архив в AppData и извлекает вложенный набор инструментов.
После распаковки LeekSower запускает скрытый процесс PowerShell с содержимым файла action. Так активируется LeekGerminator, отвечающий за установку и настройку всей вредоносной конструкции.
LeekGerminator сначала проверяет отсутствие песочницы. Для продолжения работы в папке Recent должно быть больше 10 LNK-файлов, а в системе должно работать более 50 процессов. Подобная простая проверка отсеивает исследовательские среды с малой пользовательской активностью.
При пройденной проверке LeekGerminator переносит PDF-приманку в папку Downloads и открывает её. Жертва видит ожидаемый документ и не подозревает атаку. Затем удаляются временные файлы, создаётся мьютекс GlobalgetUserRatio, а из XML-файлов регистрируются 2 скрытые задачи планировщика.
Первая задача запускает messenger.exe в роли переименованного OpenSSH-сервера. Он слушает только локальный адрес 127.0.0.1 на порту 20321 и принимает вход по ключу. Парольная аутентификация отключена. Подключиться может только владелец нужного закрытого ключа.
Вторая задача запускает datagrip.exe в виде Tor через obfs4 с использованием мостов и скрытием трафика. При каждом входе пользователя в систему через conhost запускается Tor, после чего заражённый хост получает скрытый канал связи с операторами.
Для связи с командным центром LeekGerminator использует curl через SOCKS5-прокси localhost на порту 9050. Запрос отправляется на .onion-ресурс, а в параметре q передаются имя пользователя, идентификатор Tor-сервиса из файла hostname и уникальная строка конкретной версии LeekGerminator.
После установления связи оператор подключается к хосту и переносит rclone. Инструмент в кампании переименован в bittorrent.exe. Далее создаётся задача планировщика, запускающая закодированный PowerShell-скрипт LeekYield для сбора и выгрузки файлов.
LeekYield работает по чёткой схеме сбора данных:

поиск подключённых USB-дисков на машине;
получение разделов и путей доступа;
запуск rclone для копирования во временную папку;
сортировка файлов по времени изменения;
ограничение операции тремя минутами.

После сбора данных rclone запускается как S3-сервер на локальном адресе 127.0.0.1 и порту 12191. Через установленный туннель оператор забирает подготовленный массив файлов.

Группа Leek Likho создаёт уникальный вредоносный файл для каждой жертвы с разными именами переменных и слегка меняющимися приманками, и подобный почерк сильно похож на работу LLM.

Отдельно исследователи отмечают признаки генерации контента с помощью LLM. Для каждой жертвы Leek Likho создаёт новый вредоносный файл первого этапа с уникальным именем. Приманки выглядят почти одинаково, но немного отличаются номером документа, датой или формулировкой.
Похожая картина наблюдается в скриптах. Имена переменных каждый раз разные и при этом осмысленны. В некоторых вариантах одни операции выполнены разными способами, а иногда добавлены лишние действия без влияния на результат. Подобный почерк похож на автоматическую генерацию уникальных вариантов одного кода.
«Лаборатория Касперского» сообщает о детектировании описанных образцов с вердиктами HEUR:Trojan-PSW.WinLNK.Stealer.gen, HEUR:Trojan.WinLNK.Alien.gen, Trojan-Notifier.PowerShell.Agent.f и PowerShell.LeekGerminator.
С точки зрения защиты значимы не только хэши и имена файлов. Кампания показывает устойчивый поведенческий профиль с целым набором подозрительных событий:

запуск интерпретатора из LNK-файла в архиве;
скрытые задачи планировщика с непонятным назначением;
выполнение PowerShell из AppData;
conhost с параметром —headless;
локальные SSH-сервисы на нестандартных портах;
обфусцированный Tor-трафик через obfs4;
появление rclone под чужим именем.

Особенно опасен сбор файлов с USB-носителей. В госструктурах, подрядных организациях и отдельных подразделениях внешние носители всё ещё используются для переноса документов, отчётов, списков, сканов и рабочих материалов.

Кампания отличается от атак с целью немедленного шифрования или громкого заявления о взломе. Leek Likho действует тише. Группа разворачивает скрытый доступ, маскирует инструменты под привычные приложения, использует Tor и SSH, а затем забирает документы.

Ранее сообщалось о более разрушительных атаках на российские компании и госструктуры с уничтожением данных вместо требования выкупа. Leek Likho показывает другой полюс угрозы с тихой охотой за документами и устойчивым присутствием в системе.
Для организаций из зоны риска главный вывод прост. Архивы с «документами» из Telegram и файловых сервисов нельзя открывать без проверки. Двойные расширения, LNK внутри архива, скрытые папки и запуск PowerShell должны рассматриваться признаками серьёзного инцидента.
Эксперты редакции CISOCLUB отмечают, что кампания Leek Likho показывает превращение целевых атак в менее шумные и более адаптивные операции. По мнению редакции, злоумышленники используют Telegram, Dropbox, LNK-файлы, PowerShell, Tor, SSH и rclone, а также, вероятно, ИИ для создания уникальных вариантов скриптов под каждую жертву.