Librarian Ghouls: El grupo de hackers que secuestra dispositivos rusos para minar criptomonedas
Introducción
En el mundo del cibercrimen, los ataques de cryptojacking -el uso no autorizado de dispositivos para minar criptomonedas- siguen siendo una amenaza creciente. Uno de los actores más recientes en este escenario es Librarian Ghouls, también conocido como Rare Werewolf, un grupo de hackers que ha enfocado sus esfuerzos en Rusia, Bielorrusia y Kazajistán. Según un informe de Kaspersky, este grupo podría tener motivaciones hacktivistas, utilizando técnicas sofisticadas para infectar sistemas y extraer recursos sin dejar rastro.
¿Cómo operan los Librarian Ghouls?
El modus operandi de este grupo es particularmente sigiloso. Su principal método de infección es el phishing, enviando correos electrónicos que simulan ser documentos oficiales o facturas urgentes. Una vez que la víctima descarga el archivo adjunto, el malware se instala y realiza varias acciones clave:
- Desactiva Windows Defender para evitar ser detectado.
- Analiza el hardware del dispositivo (CPU, GPU, RAM) para determinar su capacidad de minería.
- Programa la ejecución nocturna entre 1 AM y 5 AM, horario en el que es menos probable que los usuarios noten un rendimiento lento.
Además, el malware mantiene una conexión constante con pools de minería, enviando solicitudes cada 60 segundos para optimizar la extracción de criptomonedas.
Tácticas avanzadas y conexión con el hacktivismo
Lo que hace destacar a Librarian Ghouls es su preferencia por herramientas legítimas en lugar de desarrollar malware personalizado. Esta táctica es común en grupos hacktivistas, que buscan evitar la detección mientras persiguen objetivos políticos o ideológicos.
Su enfoque en Rusia y países aliados (como Bielorrusia y Kazajistán), junto con el uso del idioma ruso en sus correos, sugiere una motivación geopolítica. Kaspersky señala que, aunque no hay pruebas concluyentes, su comportamiento coincide con el de otros grupos que operan bajo la bandera del hacktivismo.
Impacto y alcance del ataque
Las principales víctimas de este grupo son empresas industriales y universidades técnicas, donde los dispositivos suelen tener mayor capacidad de procesamiento, lo que los hace más atractivos para la minería ilegal.
Aunque su actividad se remonta al menos a 2019 (según datos de BI.ZONE), su presencia se ha intensificado desde diciembre de 2023, lo que indica una posible escalada en sus operaciones.
¿Por qué Kaspersky los considera hacktivistas?
El hacktivismo se define como el uso de técnicas de hacking para promover una causa política o social. En el caso de Librarian Ghouls, varias pistas apuntan en esa dirección:
- Enfoque regional: Sus ataques se concentran en países con tensiones políticas con Occidente.
- Uso de herramientas legales: Evitan malware personalizado para dificultar su rastreo.
- Horarios estratégicos: Operan en momentos de baja actividad para minimizar sospechas.
Aunque no se ha confirmado una afiliación política clara, su metodología coincide con la de otros grupos que combinan el cibercrimen con el activismo digital.
Consejos de seguridad para evitar cryptojacking
Para protegerse de este tipo de amenazas, los expertos recomiendan:
- No abrir archivos adjuntos sospechosos, incluso si parecen provenir de fuentes confiables.
- Mantener actualizados los sistemas operativos y antivirus.
- Monitorear el rendimiento del dispositivo: Un aumento inexplicable en el uso de CPU/GPU puede ser señal de minería oculta.
Conclusión
Librarian Ghouls representa una nueva faceta del cryptojacking, donde el robo de recursos informáticos se mezcla con posibles motivaciones políticas. Su capacidad para operar en la sombra y aprovechar herramientas legítimas los convierte en un adversario difícil de rastrear.
En un contexto donde la ciberguerra entre Rusia y otros actores globales sigue escalando, ¿estamos ante un nuevo frente de batalla digital? La respuesta aún no es clara, pero lo cierto es que la amenaza del cryptojacking sigue evolucionando, y con ella, los desafíos para la ciberseguridad mundial.
Publicaciones relacionadas:
Ucrania arresta a hombre por hackear servidores y minar criptomonedas: Pérdidas de $4.4 millones 
El Mayor Hackeo de Criptomonedas de la Historia: Cómo el Lazarus Group Robó $1.400M a Bybit 
Crypto Drainers: El Malware que se Vende como SaaS en Ferias de TI 
Salida del presidente de la CFTC, secuestro de Bitcoin en Rusia y advertencia del FMI a Kenia: Ley Decodificada
