Rus Polisi Üç Şüpheli VasyGrek (Fluffy Wolf) Hacker'ı Tutukladı, Altyapıyı Çökertti

Rus yetkililer, VasyGrek (Fluffy Wolf olarak da bilinen) hacker grubunun üç şüpheli üyesini tutukladı ve suç altyapısını çökertti. Rusya İçişleri Bakanlığı, üyelerin örgütlerin hesaplarından fonları zimmete geçirmekle ve kötü amaçlı yazılım oluşturmak, dağıtmak ve kullanmakla şüpheli olduğunu açıkladı. Grubun 2016'dan beri Rus ve uluslararası şirketleri hedef aldığı bir geçmişi var.

Tutuklamalar ve ele geçirilen altyapı

Bakanlığın vurguladığı Eylül 2025 tarihli bir olayda saldırganlar, adı açıklanmayan bir kuruluşa iş yazışması kılığında kimlik avı e-postası gönderdi ve alıcıları uzlaşma raporu açmaya yönlendirdi; bu da kötü amaçlı yazılımın çalışmasına yol açtı. Olay, kuruluşun banka hesabından 660.000 ruble (8.000 dolar) kayıp yarattı ve fonlar onların kontrolündeki hesaplara aktarıldı. Bakanlık, saldırıların finansal ve muhasebe hizmet web sitelerini taklit eden geniş bir kimlik avı alan adı ağı ve yabancı ülkelerdeki sanal sunucular kullandığını, gizli uzaktan yönetim araçlarının ise dark web'den temin edildiğini açıkladı. Rus yetkililer şüphelilerin konutlarında ve ofis mekânlarında arama yaptı; bilgisayar ekipmanı, iletişim cihazları ve diğer delil değeri taşıyan eşyalar ele geçirildi.

Araçlar ve erişim yöntemleri

BI.ZONE ve F6 raporlarına göre VasyGrek, finansal güdümlü bir tehdit aktörüdür ve finansal belgeler kılığında ekler içeren kimlik avı e-postaları göndererek ilk erişimi sağlar. Araçları arasında MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key ve PowerLoader ile Remote Utilities gibi meşru uzaktan erişim yazılımları bulunur. Kaspersky, Ocak-Eylül 2026 arasında Rusya, Belarus ve Kazakistan'daki kuruluşlara yönelik VasyGrek'in 100'den fazla saldırı girişimi kaydetti. Bu saldırılar ayrıca enfekte cihazlarda keyfi komutları çalıştırabilen bir Golang arka kapısı bırakmak için tuzak belgeler kullandı.

Hedefler ve ilgili etkinlik

Kaspersky raporu, saldırıların öncelikle metalurji sektöründeki varlıkları hedef aldığını; ayrıca hammadde ve endüstriyel malzeme toptan tedarikçileri ile hükümet kurumlarını da hedef aldığını belirtti. Diğer hedefler arasında sağlık, petrol ve gaz, enerji, finans ve tarım sektörlerindeki kuruluşlar yer aldı. Kaspersky gelişmiş tehdit araştırması başkanı Nikita Nazarov, grubun saldırı coğrafyasını genişlettiğini, bu yıl potansiyel kurbanlar arasında Belarus ve Kazakistan'dan şirketlerin de bulunduğunu ve saldırganların çok aşamalı enfeksiyon şemaları ile kötü amaçlı bileşenleri barındırmak için meşru çevrimiçi hizmetler kullandığını söyledi. Ayrı olarak BI.ZONE, LxBase RAT, CoreRAT ve NightStrike RAT kullanarak Rus kuruluşları hedef alan birden fazla saldırı tespit etti; LxBase RAT aylık 119 dolar maliyetli ticari bir trojandır ve kitlesel kimlik avı kampanyalarıyla dağıtılmaktadır. CoreRAT enfeksiyon zincirleri 7zSFX ve Rust dropper içeren kimlik avı e-postaları kullanır ve bu etkinlik Core Werewolf'e atfedilir; bu aktörün Vortex Werewolf ile bazı örtüşmeler paylaştığı değerlendirilir. NightStrike RAT saldırıları, NetSupport Manager'ı dağıtmak için ClickFix tarzı saldırılar kullanan ve Octowave Loader'ı AdaptixC2 ve Havoc saldırı sonrası istismar çerçevesi implantlarını dağıtmak için de kullanan Insolent Werewolf ile ilişkilendirilmiştir; cephaneliği CapDoor ve NightWire içerir.

Kaynaklar: The Hacker News