Руските власти са арестували трима заподозрени членове на хакерска група, известна като VasyGrek, и са разбили нейната престъпна инфраструктура.

Известен също като Fluffy Wolf, този киберпрестъпник има история на атаки срещу руски и международни компании от 2016 г. насам.

Министерството на вътрешните работи на Руската федерация (MVD) заяви, че членовете на групата са „заподозрени в присвояване на средства от сметките на организации, както и в създаване, разпространение и използване на зловреден софтуер“.

В един от случаите от септември 2025 г., подчертан от министерството, се твърди, че атакуващите са изпратили фишинг имейл до неназована организация, маскирайки го като бизнес кореспонденция и инструктирайки получателите да отворят акт за сверяване на сметки, който е задействал изпълнението на зловреден софтуер.

Инцидентът е довел до загуби от 660,000 рубли ($8,000) от банковата сметка на организацията, като атакуващите са прехвърлили средствата по сметки под техен контрол.

„Атаките са използвали обширна мрежа от фишинг домейни, имитиращи уебсайтове за финансови и счетоводни услуги, както и виртуални сървъри, разположени в чужди държави“, заявиха от MVD. „Инструментите за скрито отдалечено администриране са били придобити от тъмната мрежа.“

Рядката акция на правоприлагащите органи включваше претърсвания от руските власти в домовете на заподозрените и офис помещенията, които те са използвали за провеждане на операциите. Тя доведе също до изземване на компютърно оборудване, комуникационни устройства и други предмети с доказателствена стойност.

Според доклади на руските компании за киберсигурност BI.ZONE и F6, VasyGrek се оценява като финансово мотивиран злонамерен субект, който получава първоначален достъп чрез изпращане на фишинг имейли с прикачени файлове, маскирани като финансови документи.

Някои от ключовите инструменти в неговия арсенал включват готови програми за кражба на данни (стилъри) и троянски коне като MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key и PowerLoader, както и легитимен софтуер за отдалечен достъп като Remote Utilities.

В доклад, публикуван тази седмица, Kaspersky заяви, че е регистрирала над 100 опита за атаки, организирани от VasyGrek срещу организации в Русия, Беларус и Казахстан между януари и септември 2026 г. Забелязано е също, че тези атаки използват примамващи документи за инсталиране на Golang бекдор, способен да изпълнява произволни команди на заразеното устройство.

Атаките са били насочени предимно към субекти в металургичния сектор, заедно с доставчици на едро на суровини и промишлени консумативи, както и държавни агенции. Други цели са включвали организации в секторите на здравеопазването, нефта и газа, енергетиката, финансите и селското стопанство.

„Групата разшири географията на атаките си: докато преди това нейна основна цел бяха руски организации, тази година потенциалните жертви включваха и компании от Беларус и Казахстан“, заяви Никита Назаров, ръководител на отдела за изследване на напреднали заплахи в Kaspersky.

„Атакуващите са използвали многоетапни схеми на заразяване и легитимни онлайн услуги за хостване на зловредни компоненти, което е помогнало за прикриване на дейността им и е затруднило анализа на атаките.“

Развитието идва в момент, когато BI.ZONE откри множество атаки, насочени към руски организации, използващи фамилии зловреден софтуер като LxBase RAT, CoreRAT и NightStrike RAT.

Докато LxBase RAT, комерсиален троянски кон, който струва $119 на месец, се разпространява чрез масови фишинг кампании, веригите на заразяване с CoreRAT използват фишинг имейли, съдържащи 7zSFX и Rust дропъри за доставка. Дейността се приписва на Core Werewolf, за когото се смята, че споделя известна степен на припокриване с Vortex Werewolf.

Атаките, разполагащи NightStrike RAT, се свързват с клъстер от хактивисти, превърнали се в кибершпиони, наречен Insolent Werewolf. Първоначалният достъп се постига чрез атаки от типа ClickFix за разполагане на NetSupport Manager с цел получаване на отдалечен достъп.

„Insolent Werewolf също така използва Octowave Loader за разполагане на импланти от рамките за пост-експлоатация AdaptixC2 и Havoc в компрометирани системи“, казаха от BI.ZONE, добавяйки, че арсеналът от зловреден софтуер на групата включва и други троянски коне за отдалечен достъп като CapDoor и NightWire.

„Троянски кон за отдалечен достъп (RAT), написан на C++, NightStrike вероятно е създаден от разработчика на NightWire, въз основа на приликите в стила на писане на код. Използването на разнообразни рамки и собствен персонализиран зловреден софтуер позволява на атакуващия да адаптира инструментите към специфичните условия на атаката и да намали вероятността от откриване.“