Según Cointelegraph, el grupo de hackers conocido como Librarian Ghouls, también referido como Rare Werewolf, ha comprometido cientos de dispositivos rusos para minar criptomonedas en un esquema de cryptojacking. La firma de ciberseguridad Kaspersky informa que el grupo accede a los sistemas a través de correos electrónicos de phishing cargados de malware, haciéndose pasar por documentos oficiales u órdenes de pago de organizaciones legítimas. Una vez que una computadora está infectada, los hackers establecen conexiones remotas, desactivan sistemas de seguridad como Windows Defender y programan el dispositivo para operar entre la 1 a.m. y las 5 a.m. Durante este tiempo, roban credenciales de inicio de sesión y recogen información sobre la RAM, los núcleos de CPU y las GPU del dispositivo para configurar el minero de criptomonedas de manera óptima.

La campaña, que comenzó en diciembre de 2024, ha afectado a numerosos usuarios rusos, particularmente en empresas industriales y escuelas de ingeniería, con víctimas adicionales en Bielorrusia y Kazajistán. El origen del grupo sigue siendo incierto, pero Kaspersky señala que los correos electrónicos de phishing están redactados en ruso e incluyen archivos con nombres de archivos rusos, lo que sugiere que los objetivos principales probablemente están basados en Rusia o hablan ruso. Los hackers mantienen una conexión con el pool de minería, enviando solicitudes cada 60 segundos, y refinan continuamente sus tácticas, que incluyen la exfiltración de datos, el despliegue de herramientas de acceso remoto y el uso de sitios de phishing para comprometer cuentas de correo electrónico.

Kaspersky especula que los Librarian Ghouls podrían ser hacktivistas, utilizando el hacking como una forma de desobediencia civil para promover una agenda política. Esta especulación se basa en su dependencia de utilidades de terceros legítimas en lugar de desarrollar sus propios binarios maliciosos. La duración de la actividad del grupo es incierta, pero otra firma de ciberseguridad rusa, BI. ZONE, informó el 23 de noviembre que Rare Werewolf ha estado activo desde al menos 2019. La campaña de cryptojacking en curso destaca las tácticas en evolución de los cibercriminales y la importancia de medidas robustas de ciberseguridad para protegerse contra tales amenazas.