Російська поліція арештувала трьох підозрюваних хакерів VasyGrek та демонтувала інфраструктуру

Російські органи влади арештували трьох підозрюваних учасників хакерської групи VasyGrek, також відомої як Fluffy Wolf, і демонтували її злочинну інфраструктуру. Міністерство внутрішніх справ Російської Федерації повідомило, що їх підозрюють у розкраданні коштів з рахунків організацій, а також у створенні, розповсюдженні та використанні шкідливого програмного забезпечення. Група має історію атак на російські та міжнародні компанії з 2016 року.

Арешти та вилучена інфраструктура

В одному випадку вересня 2025 року, який виокремило міністерство, зловмисники надіслали фішинговий лист неназваній організації, видаючи його за ділове листування, і інструктували одержувачів відкрити звіт про звірення, що запустив виконання шкідливого ПЗ. Інцидент призвів до втрат 660 000 рублів (8 000 доларів) з банківського рахунку організації, а кошти були переведені на рахунки під їхнім контролем. Міністерство заявило, що атаки використовували велику мережу фішингових доменів, які імітували сайти фінансових і бухгалтерських служб, а також віртуальні сервери в іноземних країнах, і що інструменти для прихованого віддаленого адміністрування були придбані в даркнеті. Російські органи влади провели обшуки за місцями проживання підозрюваних і в офісних приміщеннях, а також вилучили комп'ютерну техніку, пристрої зв'язку та інші предмети, що мають доказове значення.

Інструменти та методи доступу

За даними звітів BI.ZONE та F6, VasyGrek є фінансово мотивованим загрозливим актором, який отримує початковий доступ, надсилаючи фішингові листи з вкладеннями, замаскованими під фінансові документи. Його інструменти включають MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key і PowerLoader, а також легітимне програмне забезпечення віддаленого доступу, зокрема Remote Utilities. Kaspersky зафіксувала понад 100 спроб атак VasyGrek на організації в Росії, Білорусі та Казахстані між січнем і вереснем 2026 року. Ці атаки також використовували документи-приманки для встановлення бекдору на Golang, здатного виконувати довільні команди на заражених пристроях.

Цілі та пов'язана активність

У звіті Kaspersky зазначено, що атаки насамперед були спрямовані на підприємства металургійного сектору, а також на оптових постачальників сировини та промислових матеріалів і державні установи. Іншими цілями були організації в галузях охорони здоров'я, нафти та газу, енергетики, фінансів і сільського господарства. Нікіта Назаров, керівник досліджень передових загроз у Kaspersky, заявив, що група розширила географію атак, і потенційні жертви цього року також включають компанії з Білорусі та Казахстану, а також що зловмисники використовували багатоетапні схеми зараження та легітимні онлайн-сервіси для розміщення шкідливих компонентів. Окремо BI.ZONE виявила кілька атак на російські організації з використанням LxBase RAT, CoreRAT і NightStrike RAT; LxBase RAT є комерційним трояном вартістю $119 на місяць і розповсюджується через масові фішингові кампанії. Ланцюги зараження CoreRAT використовують фішингові листи з 7zSFX і Rust-дроперами, і цю активність приписано Core Werewolf, яку оцінюють як таку, що частково перетинається з Vortex Werewolf. Атаки NightStrike RAT пов'язані з Insolent Werewolf, яка використовує атаки в стилі ClickFix для розгортання NetSupport Manager, а також використовує Octowave Loader для розгортання імплантів AdaptixC2 і Havoc у межах фреймворку постексплуатації, а її арсенал включає CapDoor і NightWire.

Джерела: The Hacker News