3 de julio de 2026. Kaspersky publica en Securelist el informe sobre Armored Likho, un APT inédito. El sector eléctrico brasileño aparece en la lista de objetivos confirmados, junto a Rusia y Kazajistán. Ningún apagón. Ningún sabotaje. Ninguna nota oficial del ONS, ANEEL o CERT.br. Leímos el informe y la señal es clara: el atacante vino a mapear, no a destruir, y eso es lo que vuelve peligrosa la operación.
El APT que mapea en silencio
Según Kaspersky, Armored Likho es un APT inédito cuyo objetivo no es el sabotaje, sino el espionaje de largo plazo. El sector eléctrico brasileño figura en la lista de objetivos confirmados junto a Rusia y Kazajistán. No hubo apagón. No hubo sabotaje. No hubo nota oficial del ONS, de la ANEEL o del CERT.br.
La ausencia de impacto es lo que distingue esta operación. El atacante no busca interrumpir el suministro de energía, busca entender la red, mapear credenciales, establecer acceso persistente y esperar. La barrera entre el mapeo y el sabotaje es la capa IT que envuelve y aísla la red OT. Mientras esa barrera exista, el mapeo no se convierte en apagón. Pero quien mapea hoy puede sabotear mañana.
BusySnake Stealer: Python 3.12, PyArmor Pro y ejecución in-memory
Según Kaspersky, el BusySnake Stealer está escrito en Python 3.12 y protegido por PyArmor Pro 9.2.0. Una variante nueva ejecuta scripts in-memory sin tocar disco, una técnica que evita la detección por herramientas basadas en firma de archivos. El stealer roba credenciales, sesiones, billeteras cripto y secretos 2FA. El reverse SSH tunneling embebido mantiene el canal de comunicación con la infraestructura del atacante.
La persistencia es el detalle que revela madurez. Según el informe, la variante original creaba scheduled task cada 5 minutos vía schtasks.exe. La variante nueva crea tareas vía COM, una técnica que evita la ejecución de binarios conocidos y dificulta la detección por EDRs que monitorean procesos hijos. Espionaje puro, acceso de largo plazo. El atacante no quiere derribar la red, quiere permanecer en ella.
El detalle que cambia la lectura: código generado por LLM
Según Kaspersky, los loaders de primera etapa de Armored Likho presentan patrones de código generado por LLM: comentarios verbosos, emojis en lugar de bullets y estructura de código atípica. Es lo que Kaspersky describe como el primer caso documentado de un APT usando IA generativa contra infraestructura crítica.
La lectura que importa no es técnica, es estratégica. La barrera de skill para atacar el sector eléctrico colapsó. Antes, montar un APT contra infraestructura crítica exigía equipo, tiempo y conocimiento especializado. Ahora, un operador con acceso a un LLM logra generar loaders funcionales, evasión y persistencia. El costo del ataque bajó. El número de atacantes potenciales subió. El sector eléctrico brasileño está en la lista, y la lista tiende a crecer.
El vector: spear-phishing antes de la ingeniería de red
Según Kaspersky, el vector de entrada es spear-phishing con ZIP y RAR adjuntos. Los señuelos varían: avisos gubernamentales, pedidos de ayuda humanitaria, pruebas psicológicas. Dos caminos a partir de ahí: un dropper NSIS que descarga Python 3.12 desde GitHub, o un archivo LNK que explota CVE-2025-9491, una vulnerabilidad de ocultación de parámetros mitigada por Microsoft en noviembre de 2025.
El atacante entra por la ingeniería social antes de entrar por la ingeniería de la red. Ningún zero-day en protocolo OT. Ningún exploit en SCADA. El camino es el humano, el operador que abre el adjunto, el analista que hace clic en el aviso gubernamental falso. La defensa comienza donde comienza el ataque: en el endpoint, en el email, en el comportamiento.
El sector eléctrico como objetivo de APT es recurrente
El sector eléctrico como objetivo de APT no es novedad. Ucrania 2015: Sandworm dejó a 225 mil personas sin energía. Industroyer 2016: el primer malware modular diseñado para el grid. Triton 2017: el primer ataque documentado contra un Safety Instrumented System. Volt Typhoon 2024: pre-positioning en infraestructura crítica de Estados Unidos. En Brasil, Copel (DarkSide) y Eletronuclear en 2021, redes OT intactas, sin atribución a Estado-nación. Confianza media.
El patrón es claro: el mapeo precede al sabotaje. Quien entiende la red hoy puede interrumpirla mañana. Armored Likho está en la fase de entendimiento. La ventana de defensa es ahora, mientras el atacante mapea, no cuando decide actuar.
La defensa exige detectar el silencio
La defensa contra un APT que mapea en silencio exige detectar lo que no hace ruido. El EDR con threat hunting identifica persistencia y túneles SSH antes de que se vuelvan acceso prolongado. El SOC 24/7 acorta el dwell time, los APT operan de madrugada, cuando el equipo de guardia es mínimo. Zero Trust rompe la confianza implícita que el atacante explota. IAM con menor privilegio limita el blast radius si el atacante logra entrar. El Red Team simula el kill chain del atacante: spear-phishing, dropper, persistencia, tunneling, espionaje.
La Elite DeepTech de Tech86 trae Hard Tech y Hard Law. La capa IT que envuelve y aísla la red OT separa el mapeo del sabotaje. Ayudamos a las empresas del sector eléctrico a detectar el silencio antes de que se convierta en apagón.
Conclusión: la ausencia de impacto es la presencia de intención
Lo repetimos: la ausencia de impacto es la presencia de intención. Quien mapea, espera. Armored Likho no causó apagón, y es exactamente por eso que es peligroso. El atacante está adentro, mapeando, recolectando, persistiendo. La ventana de defensa es el intervalo entre el mapeo y la decisión de actuar. Si la defensa espera el apagón, ya es demasiado tarde.
En Tech86, ayudamos a las empresas de infraestructura crítica a detectar el silencio, antes de que se convierta en ruido.