Grupo Armored Likho: Espionagem Cibernética Mira Telegram
Alerta máximo. O grupo de espionagem cibernética Armored Likho está de volta com um arsenal ampliado. E o alvo agora é o seu Telegram. A descoberta é da Kaspersky, publicada no Securelist, e revela uma campanha que usa aplicativos falsos de doações para enganar vítimas e roubar dados sensíveis — incluindo sessões ativas do mensageiro e até áudio ambiente.
Não é mais só sobre invadir sistemas. É sobre vigiar você em tempo real. E o pior: a infecção acontece silenciosamente, enquanto a vítima acredita que está apenas usando um app legítimo. Aja agora.
O que é o Armored Likho e por que você deve se preocupar
O Armored Likho (também conhecido como Eagle Werewolf) é um grupo de ameaça persistente avançada (APT) com histórico de ataques direcionados. Segundo o relatório da Kaspersky, a nova campanha — identificada em maio de 2026 — tem como alvo indivíduos e organizações na Rússia, incluindo grandes corporações, setor público, TI e educação.
Mas não se engane: ameaças assim não respeitam fronteiras. O método usado pode ser replicado em qualquer lugar, inclusive no Brasil. A tática? Engenharia social com isca de doação. Um app falso que imita serviços legítimos de arrecadação de fundos. Ao abrir, a vítima vê um catálogo de itens para doar. Enquanto clica, o malware age nas sombras.
O objetivo principal é roubar dados de sessão do Telegram e gravar conversas do ambiente. Com isso, os criminosos conseguem acesso contínuo à conta e escuta clandestina. É o pesadelo da privacidade digital.
Still Toolkit: o novo arsenal de espionagem
A grande novidade desta campanha é o Still Toolkit, um kit de ferramentas escrito em Rust. Ele é composto por dois módulos principais:
- Still Sync: rouba a sessão do Telegram (pasta
tdata) e usa a API do Telegram para extrair mensagens, mídias e outros dados da conta. - Still Audio: implante para vigilância de áudio. Analisa o fluxo de áudio do microfone, detecta fala automaticamente, grava e envia as gravações para o servidor de comando e controle.
O Still Sync é particularmente perigoso. Ele não copia apenas arquivos locais. Ele sequestra a sessão ativa. Isso significa que o atacante pode acessar o Telegram da vítima sem precisar de senha ou código de verificação. E, com a sessão roubada, pode ler conversas, baixar arquivos e até se passar pela vítima.
O Still Audio transforma o dispositivo infectado em um grampo digital. Ele monitora o microfone, identifica quando alguém está falando e grava trechos. Depois, envia tudo para os criminosos. Privacidade zero.
Como a infecção acontece na prática
O vetor inicial é um dropper disfarçado de aplicativo de doações. Ao ser executado, ele exibe uma tela de login que pede uma senha — provavelmente fornecida pelos próprios atacantes para dar credibilidade. Após o login, o app mostra um catálogo de itens para doar, puxando dados de um servidor remoto.
Enquanto a vítima navega pelo catálogo, o dropper descriptografa e executa o payload em segundo plano. A técnica é semelhante à usada em campanhas anteriores do grupo, mas agora com o Still Toolkit no núcleo.
O Still Sync se registra no servidor C2, coleta informações do sistema (número de série da placa-mãe, UUID, etc.) e recebe configurações que ativam o roubo de dados do Telegram. Se a opção fetchtelegram estiver habilitada, ele tenta fazer login na conta e extrair tudo.
Já o Still Audio opera de forma independente, capturando áudio assim que detecta voz humana. As gravações são enviadas periodicamente, garantindo vigilância contínua.
Sequestro de contas em redes sociais: a próxima fronteira
O roubo de sessão do Telegram não é um caso isolado. O sequestro de contas em redes sociais é uma epidemia silenciosa. Criminosos usam técnicas semelhantes — malwares, phishing e engenharia social — para assumir o controle de perfis no Instagram, Facebook, WhatsApp e outras plataformas.
Com uma conta sequestrada, o atacante pode:
- Enviar mensagens fraudulentas para seus contatos, pedindo dinheiro ou espalhando malware.
- Acessar conversas privadas e chantagear a vítima.
- Vender os dados em mercados clandestinos.
- Usar a identidade para aplicar golpes maiores.
O caso do Armored Likho mostra que a sessão ativa é o novo ouro digital. Se o criminoso consegue copiar os arquivos de sessão, ele não precisa quebrar senhas. Ele simplesmente entra como se fosse você. E isso vale para qualquer aplicativo que mantenha você logado.
Como se proteger agora: medidas imediatas
Não espere ser a próxima vítima. Siga estas ações:
- Desconfie de apps de doação desconhecidos. Verifique a fonte oficial antes de baixar qualquer coisa.
- Ative a verificação em duas etapas no Telegram e em todas as redes sociais.
- Revise as sessões ativas do Telegram regularmente (Configurações → Dispositivos). Encerre qualquer sessão desconhecida.
- Não clique em links suspeitos, mesmo que venham de contatos conhecidos.
- Mantenha o sistema e os aplicativos atualizados.
- Use um antivírus confiável e faça varreduras periódicas.
Além disso, monitore seus dados. Se suas credenciais vazaram em algum lugar, você precisa saber antes que os criminosos usem contra você. A Kzarka oferece um serviço de monitoramento de vazamentos de dados que alerta você em tempo real se suas informações aparecerem em listas criminosas.
O que os dados revelam: uma ameaça em evolução
O relatório da Kaspersky destaca que o Armored Likho tem expandido seu arsenal continuamente. Em novembro de 2024, usava droppers disfarçados de documentos do Starlink. Em fevereiro de 2026, aplicativos de arrecadação de fundos. Agora, o Still Toolkit eleva o nível: roubo de sessão e escuta ativa.
Isso mostra uma tendência preocupante: os atacantes estão focando em dados de sessão e vigilância, não apenas em arquivos estáticos. A justificativa é simples: dados em tempo real valem mais. Uma conversa gravada pode revelar segredos corporativos, informações pessoais ou planos futuros.
Veja um resumo das capacidades do Still Toolkit:
| Componente | Função Principal | Impacto na Vítima |
|---|---|---|
| Still Sync | Rouba sessão do Telegram e extrai dados via API | Acesso total à conta, leitura de mensagens e mídias |
| Still Audio | Grava áudio ambiente com detecção de fala | Escuta clandestina, violação de privacidade |
Fonte: Adaptado do relatório da Kaspersky Securelist.
Conclusão: aja antes que seja tarde
O Armored Likho é apenas um exemplo. Grupos de espionagem cibernética estão cada vez mais sofisticados. Eles miram o que há de mais valioso: sua identidade digital e sua privacidade. O sequestro de contas em redes sociais é a ponta do iceberg. Por trás, há um ecossistema de malware, roubo de sessão e vigilância.
Não subestime o risco. Verifique agora se seus dados já vazaram. A Kzarka ajuda você a monitorar sua identidade digital e receber alertas imediatos se algo suspeito acontecer. Sua privacidade não tem preço.
Perguntas Frequentes (FAQ)
1. O que é o Armored Likho?
É um grupo de ameaça persistente avançada (APT) conhecido por campanhas de espionagem cibernética. Recentemente, foi identificado usando o Still Toolkit para roubar sessões do Telegram e gravar áudio ambiente.
2. Como o Still Sync rouba minha conta do Telegram?
Ele copia a pasta tdata do Telegram, que contém os dados da sessão ativa. Com isso, o atacante pode acessar a conta sem precisar de senha, usando a API do Telegram.
3. O que é o Still Audio?
É um implante que transforma o dispositivo infectado em um gravador. Ele detecta fala no ambiente e envia as gravações para o servidor dos criminosos.
4. Como posso saber se fui infectado?
Fique atento a comportamentos estranhos: uso excessivo de CPU, tráfego de rede suspeito, ou sessões desconhecidas no Telegram. Use um antivírus atualizado e faça varreduras completas.
5. O que fazer se minha conta do Telegram for sequestrada?
Acesse as configurações do Telegram e encerre todas as sessões ativas. Altere sua senha imediatamente e ative a verificação em duas etapas. Depois, monitore seus dados com a Kzarka para evitar novos vazamentos.