המשטרה הרוסית עצרה שלושה חשודים בקבוצת ההאקרים VasyGrek ופירקה תשתית

הרשויות ברוסיה עצרו שלושה חשודים החברים בקבוצת ההאקרים VasyGrek, הידועה גם בשם Fluffy Wolf, ופירקו את התשתית הפלילית שלה. משרד הפנים של הפדרציה הרוסית מסר כי החשודים חשודים במעילה בכספים מחשבונות של ארגונים וביצירה, בהפצה ובשימוש בתוכנות זדוניות. לקבוצה היסטוריה של תקיפת חברות רוסיות ובינלאומיות מאז 2016.

מעצרים ותשתית שנתפסה

במקרה אחד מספטמבר 2025 שהודגש על ידי המשרד, שלחו התוקפים דואר אלקטרוני פישינג לארגון שלא צוין בשמו, תוך התחזות להתכתבות עסקית והוראה לנמענים לפתוח דוח התאמות שהפעיל הרצת תוכנה זדונית. התקרית גרמה להפסדים של 660,000 רובל (8,000 דולר) מחשבון הבנק של הארגון, כאשר הכספים הועברו לחשבונות בשליטתם. המשרד מסר כי התקיפות השתמשו ברשת עצומה של דומיינים לפישינג שחיקו אתרי שירותים פיננסיים וחשבונאיים, יחד עם שרתים וירטואליים הממוקמים במדינות זרות, וכלים לניהול מרחוק חשאי נרכשו מהרשת האפלה. הרשויות ברוסיה ערכו חיפושים בבתי החשודים ובמשרדים ותפסו ציוד מחשוב, התקני תקשורת ופריטים אחרים בעלי ערך ראייתי.

כלים ושיטות גישה

לפי דוחות של BI.ZONE ו-F6, VasyGrek הוא שחקן איום בעל מניע פיננסי שמשיג גישה ראשונית על ידי שליחת הודעות דואר אלקטרוני פישינג עם קבצים מצורפים המתחזים למסמכים פיננסיים. הכלים שלו כוללים את MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key ו-PowerLoader, וכן תוכנות לגיטימיות לגישה מרחוק כגון Remote Utilities. Kaspersky תיעדה יותר מ-100 ניסיונות תקיפה של VasyGrek נגד ארגונים ברוסיה, בבלארוס ובקזחסטן בין ינואר לספטמבר 2026. התקיפות הללו השתמשו גם במסמכי פיתוי כדי להשתיל דלת אחורית של Golang המסוגלת להריץ פקודות שרירותיות במכשירים נגועים.

יעדים ופעילות קשורה

דוח Kaspersky מסר כי התקיפות התמקדו בעיקר בישויות במגזר המטלורגי, ובספקים סיטונאיים של חומרי גלם ואספקה תעשייתית וסוכנויות ממשלתיות. יעדים אחרים כללו ארגונים בבריאות, נפט וגז, אנרגיה, פיננסים וחקלאות. Nikita Nazarov, ראש מחקר איומים מתקדמים ב-Kaspersky, אמר כי הקבוצה הרחיבה את הגיאוגרפיה של התקיפות שלה, כאשר קורבנות פוטנציאליים השנה כללו גם חברות מבלארוס ומקזחסטן, וכי התוקפים השתמשו בסכמות הדבקה רב-שלביות ובשירותים מקוונים לגיטימיים כדי לארח רכיבים זדוניים. בנפרד, BI.ZONE זיהתה תקיפות מרובות נגד ארגונים רוסיים תוך שימוש ב-LxBase RAT, ב-CoreRAT וב-NightStrike RAT; LxBase RAT הוא טרויאני מסחרי שעולה $119 לחודש ומופץ דרך קמפיינים המוניים של פישינג. שרשראות ההדבקה של CoreRAT משתמשות בהודעות דואר אלקטרוני פישינג המכילות 7zSFX ו-Rust droppers, והפעילות הזו יוחסה ל-Core Werewolf, אשר מוערך כי יש לה חפיפה מסוימת עם Vortex Werewolf. תקיפות NightStrike RAT נקשרו ל-Insolent Werewolf, שמשתמשת בתקיפות בסגנון ClickFix כדי לפרוס NetSupport Manager, וכן משתמשת ב-Octowave Loader כדי לפרוס שתלים של מסגרות ניצול לאחר חדירה AdaptixC2 ו-Havoc, עם ארסנל הכולל CapDoor ו-NightWire.

מקורות: The Hacker News