الشرطة الروسية تعتقل ثلاثة مشتبه بهم في مجموعة VasyGrek وتفكك بنيتها التحتية

اعتقلت السلطات الروسية ثلاثة مشتبه بهم من مجموعة VasyGrek للقرصنة، والمعروفة أيضا باسم Fluffy Wolf، وفككت بنيتها الإجرامية. وقالت وزارة الداخلية في الاتحاد الروسي إن المشتبه بهم يشتبه في اختلاس أموال من حسابات منظمات وفي إنشاء برمجيات خبيثة وتوزيعها واستخدامها. وللمجموعة تاريخ في استهداف شركات روسية ودولية منذ عام 2016.

الاعتقالات والبنية التحتية المضبوطة

في قضية من سبتمبر 2025 نشرتها الوزارة، أرسل المهاجمون رسالة بريد إلكتروني تصيّد إلى منظمة غير مسماة، متنكرين بها كمراسلات تجارية وموجهين المستلمين إلى فتح تقرير تسوية أدى إلى تنفيذ برمجيات خبيثة. وأدت الحادثة إلى خسائر بلغت 660,000 روبل (8,000 دولار) من الحساب المصرفي للمنظمة، مع تحويل الأموال إلى حسابات تحت سيطرتهم. وقالت الوزارة إن الهجمات استخدمت شبكة واسعة من نطاقات التصيد التي تقلّد مواقع خدمات مالية ومحاسبية، إلى جانب خوادم افتراضية في دول أجنبية، وأن أدوات الإدارة عن بعد المخفية اكتُسبت من الويب المظلم. وأجرت السلطات الروسية تفتيشات في مساكن المشتبه بهم ومقرات مكاتبهم وضبطت معدات حاسوبية وأجهزة اتصال وعناصر أخرى ذات قيمة إثباتية.

الأدوات وطرق الوصول

بحسب تقارير من BI.ZONE وF6، فإن VasyGrek فاعل تهديد محفّز ماليا يحصل على الوصول الأولي بإرسال رسائل بريد إلكتروني تصيّد مع مرفقات متنكرة كمستندات مالية. وتضم أدواته MetaStealer وPureCrypter وPureLogs Stealer وWarZone RAT وXMRig وBurnsRAT وPureHVNC وPureRAT وPay2Key وPowerLoader، إضافة إلى برمجيات وصول عن بعد مشروعة مثل Remote Utilities. وسجّل Kaspersky أكثر من 100 محاولة هجوم من VasyGrek ضد منظمات في روسيا وبيلاروس وكازاخستان بين يناير وسبتمبر 2026. واستخدمت تلك الهجمات أيضا مستندات طعم لإسقاط باب خلفي مكتوب بـ Golang قادر على تنفيذ أوامر عشوائية على الأجهزة المصابة.

الأهداف والنشاط المرتبط

قال تقرير Kaspersky إن الهجمات استهدفت أساسا كيانات في قطاع المعادن، إلى جانب مورّدي الجملة للمواد الخام والإمدادات الصناعية والجهات الحكومية. وشملت أهداف أخرى منظمات في الرعاية الصحية والنفط والغاز والطاقة والمالية والزراعة. وقال Nikita Nazarov، رئيس بحث التهديدات المتقدمة في Kaspersky، إن المجموعة وسّعت جغرافيا هجماتها، مع احتمال أن تشمل ضحايا هذا العام شركات من بيلاروس وكازاخستان، وأن المهاجمين استخدموا مخططات إصابة متعددة المراحل وخدمات إنترنت مشروعة لاستضافة المكونات الخبيثة. وعلى نحو منفصل، اكتشفت BI.ZONE هجمات متعددة استهدفت منظمات روسية باستخدام LxBase RAT وCoreRAT وNightStrike RAT؛ LxBase RAT هو حصان طروادة تجاري تبلغ تكلفته 119 دولارا شهريا ويُوزّع عبر حملات تصيّد جماعية. وتستخدم سلاسل إصابة CoreRAT رسائل بريد إلكتروني تصيّد تحتوي على 7zSFX وRust droppers، وقد أُسند ذلك النشاط إلى Core Werewolf، التي تُقيّم بأنها تتقاطع جزئيا مع Vortex Werewolf. وارتبطت هجمات NightStrike RAT بـ Insolent Werewolf، التي تستخدم هجمات بنمط ClickFix لنشر NetSupport Manager وتستخدم أيضا Octowave Loader لنشر AdaptixC2 وHavoc في مرحلة ما بعد الاختراق، مع ترسانة تضم CapDoor وNightWire.

المصادر: The Hacker News