Una sofisticada campaña de ciberataque, atribuida al grupo de Amenazas Persistentes Avanzadas (APT) conocido como Librarian Ghouls (también Rare Werewolf y Rezet), ha estado atacando activamente a entidades rusas y de la CEI. El grupo emplea software legítimo de terceros para establecer acceso remoto, robar credenciales e implementar mineros de criptomonedas XMRig, afectando a cientos de empresas industriales y escuelas de ingeniería.
Puntos Clave
-
Phishing Sofisticado: Librarian Ghouls emplea correos electrónicos de phishing altamente convincentes adaptados a objetivos de habla rusa.
-
Abuso de Software Legítimo: Una característica definitoria es el uso extensivo de herramientas legítimas de terceros, lo que dificulta la detección y la atribución.
-
Operaciones Sigilosas: Los tiempos programados de activación y apagado están diseñados para ocultar sus actividades a los usuarios.
-
Doble Objetivo: El grupo busca tanto el robo de datos (credenciales, monederos de criptomonedas) como el beneficio financiero a través del cryptojacking.
-
Amenaza Continua: La campaña sigue activa, con un continuo refinamiento de tácticas y herramientas observado por los investigadores de ciberseguridad.
Librarian Ghouls: Una Amenaza Persistente
Rare Werewolf ha estado activo desde al menos 2019, centrándose constantemente en organizaciones en Rusia y la Comunidad de Estados Independientes (CEI). Sus operaciones, que continuaron hasta mayo de 2025, tienen como objetivo principal a empresas industriales y escuelas de ingeniería, con algunas víctimas también reportadas en Bielorrusia y Kazajistán. Las tácticas del grupo sugieren una posible motivación hacktivista, caracterizada por su dependencia de software legítimo y fácilmente disponible en lugar de malware desarrollado a medida.
Modus Operandi: Phishing y Herramientas Legítimas
El vector de infección inicial para Librarian Ghouls son correos electrónicos de phishing altamente dirigidos. Estos correos electrónicos, a menudo redactados en ruso y que contienen nombres de archivo y documentos señuelo en ruso, se disfrazan como comunicaciones oficiales u órdenes de pago. Incluyen archivos protegidos con contraseña que contienen ejecutables maliciosos. Una vez que la víctima abre estos archivos, se inicia una compleja cadena de infección:
-
Carga Inicial: Un instalador, a menudo creado con Smart Install Maker, implementa software legítimo como 4t Tray Minimizer para ocultar su presencia.
-
Acceso Remoto y Exfiltración de Datos: Las cargas intermedias obtienen herramientas adicionales de servidores remotos, incluyendo:
-
AnyDesk: Para el control remoto de máquinas comprometidas.
-
Blat: Una utilidad para enviar datos robados a través de SMTP.
-
Defender Control: Para deshabilitar Windows Defender.
-
WinRAR 3.80 Personalizado: Para la compresión de datos.
-
WebBrowserPassView: Para robar credenciales almacenadas en el navegador.
-
Mipko Personal Monitor: Para monitorear a las víctimas, incluyendo capturas de pantalla y pulsaciones de teclas.
-
ngrok: Para conexiones seguras de servicios de red.
-
NirCmd: Para ejecutar scripts de forma encubierta.
-
-
Operaciones Programadas: Los atacantes programan los dispositivos infectados para que se activen a la 1 AM y se apaguen a las 5 AM hora local. Esta ventana de cuatro horas les permite llevar a cabo sus actividades, como el robo de datos y la minería de criptomonedas, minimizando la sospecha del usuario.
-
Robo de Datos: El grupo se dirige específicamente a:
-
Credenciales de monederos de criptomonedas y frases semilla.
-
Volcados de las claves de registro HKLM\SAM y HKLM\SYSTEM.
-
-
Minería de Criptomonedas: Después de la exfiltración de datos, se instala el minero de criptomonedas XMRig. El minero se configura en función de la información del sistema de la víctima (núcleos de CPU, RAM, GPU) para optimizar las operaciones de minería.
Se insta a las organizaciones en Rusia y los países de la CEI a mejorar sus defensas de ciberseguridad, implementar medidas sólidas de seguridad de correo electrónico y educar a los empleados sobre las amenazas de phishing para mitigar los riesgos planteados por este grupo APT en evolución.
Fuentes
-
Rare Werewolf APT utiliza software legítimo en ataques a cientos de empresas rusas, The Hacker News.
-
Grupo de Hacking Librarian Ghouls Criptojackea Cientos de Dispositivos para Minar Cripto, Cointelegraph.
-
El Grupo APT 'Librarian Ghouls' Ataca Organizaciones, GBHackers News.
-
Librarian Ghouls APT lleva a cabo ataques con robo de datos e implementación de minero de criptomonedas, Securelist.
-
El grupo de hackers Rare Werewolf secuestra dispositivos rusos para minar cripto y robar datos, Crypto News.
Este artículo fue creado con el apoyo de tecnología impulsada por IA, basándose en múltiples fuentes reputadas. El contenido final ha sido revisado y editado minuciosamente por el equipo editorial de BlockzHub para garantizar precisión, claridad y coherencia. Las fuentes originales de los informes se citan siempre que sea apropiado y necesario. Las opiniones expresadas en este artículo no representan necesariamente los puntos de vista o posiciones oficiales de BlockzHub. Este artículo tiene únicamente fines informativos y no debe considerarse asesoramiento financiero o profesional. Invertir implica riesgos, y se recomienda consultar a un asesor financiero calificado antes de tomar decisiones de inversión.