რუსეთის პოლიციამ VasyGrek-ის სამი სავარაუდო ჰაკერი დააკავა და ინფრასტრუქტურა დაშალა

რუსეთის ხელისუფლებამ დააკავა VasyGrek-ის ჰაკერული ჯგუფის, იგივე Fluffy Wolf-ის, სამი სავარაუდო წევრი და დაშალა მისი კრიმინალური ინფრასტრუქტურა. რუსეთის შინაგან საქმეთა სამინისტროს ცნობით, ისინი ეჭვმიტანილნი არიან ორგანიზაციების ანგარიშებიდან თანხების გაფლანგვაში და მავნე პროგრამული უზრუნველყოფის შექმნაში, გავრცელებასა და გამოყენებაში. ჯგუფი 2016 წლიდან რუსულ და საერთაშორისო კომპანიებზე თავდასხმებითაა ცნობილი.

დაკავებები და ჩამორთმეული ინფრასტრუქტურა

სამინისტროს მიერ გამოვლენილ 2025 წლის სექტემბრის ერთ შემთხვევაში თავდამსხმელებმა უცნობ ორგანიზაციას საქმიან მიმოწერად შენიღბული ფიშინგური ელფოსტა გაუგზავნეს და მიმღებებს შერიგების ანგარიშის გახსნა დაავალეს, რამაც მავნე პროგრამა გაუშვა. ორგანიზაციის საბანკო ანგარიშიდან დაიკარგა 660 000 რუბლი (8 000 დოლარი), თანხები კი მათ კონტროლქვეშ არსებულ ანგარიშებზე გადაიტანეს. სამინისტროს ცნობით, გამოიყენებოდა ფინანსური და ბუღალტრული საიტების იმიტაცია ფიშინგურ დომენთა ქსელით, საზღვარგარეთ განთავსებული ვირტუალური სერვერები და ბნელ ვებში შეძენილი ფარული დისტანციური ადმინისტრირების ხელსაწყოები. რუსეთის ხელისუფლებამ ჩხრეკა ჩაატარა ეჭვმიტანილების საცხოვრებელ და საოფისე ფართებში და ჩამოართვა კომპიუტერული ტექნიკა, საკომუნიკაციო მოწყობილობები და სხვა მტკიცებულებითი ნივთები.

ხელსაწყოები და წვდომის მეთოდები

BI.ZONE-ისა და F6-ის ცნობებით, VasyGrek ფინანსურად მოტივირებული საფრთხის აქტორია, რომელიც საწყის წვდომას იღებს ფიშინგური ელფოსტებით, სადაც დანართები ფინანსურ დოკუმენტებადაა შენიღბული. არსენალში შედის MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key და PowerLoader, ასევე ლეგიტიმური დისტანციური წვდომის პროგრამები, მაგალითად Remote Utilities. Kaspersky-მ 2026 წლის იანვრიდან სექტემბრამდე VasyGrek-ის 100-ზე მეტი თავდასხმის მცდელობა დააფიქსირა რუსეთის, ბელარუსისა და ყაზახეთის ორგანიზაციებზე. ამ თავდასხმებში გამოიყენებოდა სატყუარა დოკუმენტები Golang-ის ბექდორის ჩასაგდებად, რომელსაც ინფიცირებულ მოწყობილობებზე თვითნებური ბრძანებების შესრულება შეუძლია.

სამიზნეები და დაკავშირებული აქტივობა

Kaspersky-ის ანგარიშის მიხედვით, თავდასხმები ძირითადად მეტალურგიის ორგანიზაციებზე, ნედლეულისა და სამრეწველო მომარაგების საბითუმო მომწოდებლებზე და სახელმწიფო უწყებებზე იყო მიმართული. სხვა სამიზნეები იყო ჯანდაცვის, ნავთობისა და გაზის, ენერგეტიკის, ფინანსებისა და სოფლის მეურნეობის ორგანიზაციები. Kaspersky-ის მოწინავე საფრთხეების კვლევის ხელმძღვანელის, ნიკიტა ნაზაროვის თქმით, ჯგუფმა გეოგრაფია გააფართოვა და წელს პოტენციურ მსხვერპლთა შორის ბელარუსისა და ყაზახეთის კომპანიებიც არიან; თავდამსხმელები იყენებდნენ მრავალსაფეხურიან ინფიცირების სქემებს და მავნე კომპონენტებისთვის ლეგიტიმურ ონლაინ სერვისებს. ცალკე, BI.ZONE-მა რუსულ ორგანიზაციებზე LxBase RAT-ის, CoreRAT-ისა და NightStrike RAT-ის გამოყენებით რამდენიმე თავდასხმა გამოავლინა; LxBase RAT კომერციული ტროანია, თვეში 119 დოლარი ღირს და მასობრივი ფიშინგური კამპანიებით ვრცელდება. CoreRAT-ის ინფიცირების ჯაჭვები იყენებს ფიშინგურ ელფოსტებს 7zSFX და Rust დროპერებით; ეს აქტივობა Core Werewolf-ს მიაკუთვნეს, ხოლო შეფასებით, ის გარკვეულწილად ემთხვევა Vortex Werewolf-ს. NightStrike RAT-ის თავდასხმები Insolent Werewolf-ს უკავშირდება; ის ClickFix-ის სტილის თავდასხმებით NetSupport Manager-ს ამუშავებს და Octowave Loader-ს AdaptixC2-ისა და Havoc-ის პოსტექსპლუატაციის იმპლანტებისთვის იყენებს; არსენალში შედის CapDoor და NightWire.

წყაროები: The Hacker News