GenieLocker: el nuevo ransomware propio de Toy Ghouls marca una evolución en las amenazas contra empresas
La banda dejó de depender de familias de ransomware de terceros y ahora utiliza una herramienta desarrollada internamente para atacar entornos Windows, Linux y VMware ESXi
El cambio refleja una tendencia cada vez más frecuente entre grupos de cibercrimen maduros: construir su propio arsenal para ganar flexibilidad, reducir dependencias y dificultar el trabajo de los defensores.
Toy Ghouls evoluciona: ahora tiene su propio ransomware
Investigadores de Kaspersky analizaron GenieLocker, una nueva familia de ransomware desarrollada por el grupo Toy Ghouls (también conocido como Labubu o Bearlyfly), utilizada activamente desde marzo de 2026 en ataques contra organizaciones rusas.
Los principales objetivos han sido empresas del sector manufacturero, seguidas por organizaciones de construcción, servicios financieros, comercio minorista y tecnología.
Hasta ahora, Toy Ghouls había recurrido a ransomware ampliamente conocido como Babuk, LockBit o RedAlert. Sin embargo, GenieLocker representa un cambio importante: el grupo ahora cuenta con una plataforma propia de cifrado diseñada específicamente para sus operaciones.
Un ataque que comenzó por la cadena de confianza
Uno de los aspectos más interesantes del incidente no fue el ransomware en sí, sino la forma en que los atacantes lograron ingresar.
Según el análisis de Kaspersky, la intrusión inicial se produjo a través de un servidor OpenVPN perteneciente a un socio externo, aprovechando credenciales robadas que seguían siendo válidas.
En otras palabras, el objetivo principal no fue comprometido directamente: la confianza existente entre organizaciones fue utilizada como puerta de entrada.
Este tipo de ataques vuelve a poner sobre la mesa un problema recurrente en seguridad corporativa: proteger la infraestructura propia ya no es suficiente si terceros mantienen accesos privilegiados hacia la red.
Una vez dentro, comienza el movimiento lateral
Después del acceso inicial, Toy Ghouls desplegó diversas herramientas legítimas y ampliamente conocidas para expandirse dentro del entorno comprometido.
Entre ellas se encontraron:
OpenSSH
SoftPerfect Network Scanner
Mimikatz
socks5.exe
SoftPerfect fue utilizado para descubrir otros equipos dentro de la red, mientras que Mimikatz permitió extraer credenciales almacenadas en memoria.
Los investigadores también encontraron evidencia de acceso a KeePassXC, instalado previamente en varias estaciones comprometidas. Todo indica que los atacantes intentaron obtener las bases de datos del gestor de contraseñas para ampliar aún más sus privilegios.
El movimiento lateral se realizó utilizando:
RDP hacia sistemas Windows.
SSH para servidores Linux.
Posteriormente, el despliegue masivo del ransomware se llevó a cabo mediante herramientas legítimas de administración remota como PsExec y PAExec, una técnica habitual para evitar levantar sospechas.
Además, los operadores establecieron un túnel SSH inverso para mantener comunicación con su infraestructura de comando y control (C2).
Windows, Linux y ESXi bajo una misma plataforma
Uno de los cambios más relevantes de GenieLocker es que no se limita a Windows.
Kaspersky identificó dos variantes principales:
PE para Windows.
ELF para Linux y servidores VMware ESXi.
En los servidores Linux y ESXi, los atacantes primero detuvieron las máquinas virtuales activas y luego cifraron directamente los discos virtuales, maximizando el impacto operativo.
La lógica criptográfica es prácticamente idéntica en todas las plataformas.
Para cifrar archivos utiliza:
XChaCha20-Poly1305 para el contenido y los metadatos.
Curve25519-XSalsa20-Poly1305 para proteger las claves de cifrado.
El uso de algoritmos criptográficos modernos no convierte automáticamente a un ransomware en “más peligroso”, pero sí dificulta enormemente cualquier intento de recuperación sin disponer de las claves originales.
Un ransomware sin doble extorsión
Curiosamente, Toy Ghouls continúa diferenciándose de muchas bandas modernas.
Los investigadores no encontraron evidencia de robo masivo de información antes del cifrado.
Tampoco existe un sitio de filtraciones donde el grupo publique datos de las víctimas, una práctica habitual entre organizaciones criminales como LockBit, ALPHV o Cl0p.
Su modelo sigue siendo el del ransomware clásico: cifrar la información para presionar el pago del rescate, sin recurrir a la amenaza adicional de divulgar documentos confidenciales.
Eso no significa que el riesgo sea menor. La indisponibilidad total de servidores críticos, especialmente en entornos industriales o de virtualización, puede paralizar operaciones durante días o semanas.
Una señal de madurez del cibercrimen
Más allá del caso puntual, GenieLocker refleja una evolución que se viene observando desde hace algunos años.
Cada vez más grupos criminales están dejando de reutilizar ransomware filtrado o alquilado para desarrollar herramientas propias.
Las ventajas son evidentes:
mayor control sobre las funcionalidades;
menor dependencia de proyectos ajenos;
posibilidad de incorporar nuevas técnicas sin esperar actualizaciones externas;
menor exposición frente a investigaciones basadas en familias ya conocidas.
En la práctica, esto convierte al ransomware en una capacidad estratégica del grupo y no simplemente en una herramienta adquirida en foros clandestinos.
La cadena de suministro vuelve a estar en el centro
El incidente también deja otra enseñanza importante.
El acceso inicial no surgió de una vulnerabilidad crítica ni de un sofisticado exploit de día cero, sino del aprovechamiento de una relación de confianza entre organizaciones mediante credenciales válidas.
A medida que las empresas fortalecen sus defensas perimetrales, los atacantes encuentran cada vez más rentable ingresar a través de proveedores, socios comerciales o accesos remotos compartidos.
La seguridad ya no depende únicamente de proteger la infraestructura propia, sino también de comprender y gestionar adecuadamente toda la cadena de confianza que conecta a una organización con terceros.
GenieLocker demuestra que, mientras las técnicas de acceso inicial siguen siendo relativamente tradicionales, el arsenal del ransomware continúa profesionalizándose. La combinación de herramientas legítimas, movimiento lateral cuidadosamente planificado y un malware multiplataforma desarrollado a medida confirma que el cibercrimen organizado sigue evolucionando hacia operaciones cada vez más sofisticadas y autónomas.