Ռուսական ոստիկանությունը ձերբակալել է VasyGrek հաքերային խմբի երեք կասկածյալ անդամներին և ապամոնտաժել ենթակառուցվածքը

Ռուսաստանի իշխանությունները ձերբակալել են VasyGrek հաքերային խմբի, որը հայտնի է նաև Fluffy Wolf անունով, երեք կասկածյալ անդամներին և ապամոնտաժել են դրա քրեական ենթակառուցվածքը։ Ռուսաստանի Դաշնության ներքին գործերի նախարարությունը հայտնել է, որ կասկածյալները կասկածվում են կազմակերպությունների հաշիվներից միջոցների յուրացման, ինչպես նաև վնասակար ծրագրային ապահովման ստեղծման, տարածման և օգտագործման մեջ։ Խումբը 2016 թվականից ի վեր թիրախավորել է ռուսական և միջազգային ընկերություններ։

Ձերբակալություններ և առգրավված ենթակառուցվածք

Նախարարության առանձնացրած 2025 թվականի սեպտեմբերի մեկ դեպքում հարձակվողները անանուն կազմակերպությանը ֆիշինգային նամակ են ուղարկել՝ այն ներկայացնելով որպես գործարար նամակագրություն և ստացողներին հրահանգելով բացել հաշվետվությունների համաձայնեցման զեկույց, որը գործարկել է վնասակար ծրագիրը։ Դեպքի արդյունքում կազմակերպության բանկային հաշվից կորել է 660,000 ռուբլի ($8,000), իսկ միջոցները փոխանցվել են նրանց վերահսկողության տակ գտնվող հաշիվներին։ Նախարարությունը հայտնել է, որ հարձակումների ժամանակ օգտագործվել է ֆինանսական և հաշվապահական ծառայությունների կայքերը ընդօրինակող ֆիշինգային տիրույթների մեծ ցանց, ինչպես նաև արտասահմանյան երկրներում գտնվող վիրտուալ սերվերներ, իսկ գաղտնի հեռակառավարման գործիքները ձեռք են բերվել մութ վեբից։ Ռուսաստանի իշխանությունները խուզարկություններ են կատարել կասկածյալների բնակարաններում և գրասենյակային տարածքներում և առգրավել են համակարգչային սարքավորումներ, կապի միջոցներ և ապացուցային արժեք ունեցող այլ իրեր։

Գործիքներ և մուտքի եղանակներ

BI.ZONE-ի և F6-ի հաղորդումների համաձայն՝ VasyGrek-ը ֆինանսապես դրդապատճառ ունեցող սպառնալիք գործող է, որը սկզբնական մուտք է ստանում՝ ֆինանսական փաստաթղթերի տեսքով կցորդներ պարունակող ֆիշինգային նամակներ ուղարկելով։ Դրա գործիքներից են MetaStealer-ը, PureCrypter-ը, PureLogs Stealer-ը, WarZone RAT-ը, XMRig-ը, BurnsRAT-ը, PureHVNC-ը, PureRAT-ը, Pay2Key-ը և PowerLoader-ը, ինչպես նաև օրինական հեռակառավարման ծրագրեր, ինչպիսին է Remote Utilities-ը։ Kaspersky-ն 2026 թվականի հունվարից սեպտեմբերը ընկած ժամանակահատվածում Ռուսաստանում, Բելառուսում և Ղազախստանում կազմակերպությունների դեմ VasyGrek-ի 100-ից ավելի հարձակման փորձ է գրանցել։ Այդ հարձակումները նաև օգտագործել են խայծ փաստաթղթեր՝ վարակված սարքերում կամայական հրամաններ կատարելու ունակ Golang հետին դռնակ տեղադրելու համար։

Թիրախներ և հարակից գործունեություն

Kaspersky-ի հաղորդման համաձայն՝ հարձակումները հիմնականում թիրախավորել են մետալուրգիական ոլորտի կազմակերպություններին, ինչպես նաև հումքի և արդյունաբերական պարագաների մեծածախ մատակարարներին ու պետական գերատեսչություններին։ Այլ թիրախների թվում են եղել առողջապահության, նավթի և գազի, էներգետիկայի, ֆինանսների և գյուղատնտեսության ոլորտների կազմակերպությունները։ Kaspersky-ի առաջադեմ սպառնալիքների հետազոտության ղեկավար Նիկիտա Նազարովը հայտնել է, որ խումբը ընդլայնել է իր հարձակումների աշխարհագրությունը, և այս տարվա հնարավոր զոհերի թվում կարող են լինել նաև Բելառուսի և Ղազախստանի ընկերությունները, ինչպես նաև որ հարձակվողները օգտագործել են բազմափուլ վարակման սխեմաներ և օրինական առցանց ծառայություններ՝ վնասակար բաղադրիչները հյուրընկալելու համար։ Առանձին, BI.ZONE-ը հայտնաբերել է ռուսական կազմակերպությունների դեմ բազմաթիվ հարձակումներ՝ օգտագործելով LxBase RAT, CoreRAT և NightStrike RAT։ LxBase RAT-ը առևտրային տրոյան է, որը արժե 119 դոլար ամսական և տարածվում է զանգվածային ֆիշինգային արշավներով։ CoreRAT-ի վարակման շղթաները օգտագործում են ֆիշինգային նամակներ՝ պարունակող 7zSFX և Rust բեռնիչներ, և այդ գործունեությունը վերագրվել է Core Werewolf-ին, որը գնահատվում է որպես որոշակի համընկնում ունեցող Vortex Werewolf-ի հետ։ NightStrike RAT հարձակումները կապվել են Insolent Werewolf-ի հետ, որն օգտագործում է ClickFix ոճի հարձակումներ՝ NetSupport Manager տեղակայելու համար, ինչպես նաև օգտագործում է Octowave Loader՝ AdaptixC2 և Havoc հետշահագործման շրջանակի իմպլանտներ տեղակայելու համար, իսկ դրա զինանոցը ներառում է CapDoor և NightWire։

Աղբյուրներ: The Hacker News