Российские власти арестовали трех предполагаемых членов преступной группы VasyGrek и ликвидировали ее криминальную инфраструктуру. Эта группа, также известная как Fluffy Wolf, с 2016 года специализировалась на атаках на российские и международные компании.
Министерство внутренних дел Российской Федерации (МВД) сообщило, что члены группы «подозреваются в хищении денежных средств со счетов организаций, а также в создании, распространении и использовании вредоносного программного обеспечения». В одном из случаев, о котором министерство сообщило в сентябре 2025 года, злоумышленники отправили фишинговое письмо неустановленной организации, замаскировав его под деловую переписку и предложив получателям открыть отчет о сверке, который инициировал выполнение вредоносного ПО. В результате инцидента организация потеряла 660 000 рублей (8 000 евро) с банковского счета, а средства были переведены на счета под контролем злоумышленников.
«В атаках использовалась обширная сеть фишинговых доменов, имитирующих сайты финансовых и бухгалтерских сервисов, а также виртуальные серверы, расположенные в зарубежных странах, — заявили в МВД. — Инструменты для скрытого удаленного администрирования приобретались в даркнете». В ходе редкой операции правоохранительные органы провели обыски в местах проживания подозреваемых и в офисных помещениях, которые они использовали для проведения операций. Была изъята компьютерная техника, средства связи и другие предметы, имеющие доказательственное значение.
Согласно сообщениям российской компании BI.ZONE и F6, VasyGrek считается финансово мотивированной группой, которая получает первоначальный доступ путем рассылки фишинговых писем с вложениями, замаскированными под финансовые документы. Среди ключевых инструментов в ее арсенале — готовые стиллеры и трояны, такие как *MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key и PowerLoader, а также легитимное программное обеспечение для удаленного доступа, такое как Remote Utilities.
В отчете, опубликованном на этой неделе, «Лаборатория Касперского» сообщила, что зафиксировала более 100 попыток атак, организованных VasyGrek против организаций в России, Беларуси и Казахстане в период с января по сентябрь 2026 года. Эти атаки также использовали поддельные документы для доставки бэкдора на языке Golang, способного выполнять произвольные команды на зараженном устройстве. Основными целями были предприятия металлургического сектора, оптовые поставщики сырья и промышленных товаров, а также государственные учреждения. Среди других целей были организации в сферах здравоохранения, нефтегазовой отрасли, энергетики, финансов и сельского хозяйства.
«Группа расширила географию атак: если ранее ее основной целью были российские организации, то в этом году потенциальными жертвами стали и компании из Беларуси и Казахстана», — отметил Никита Назаров, руководитель отдела исследований продвинутых угроз «Лаборатории Касперского». «Злоумышленники использовали многоступенчатые схемы заражения и легитимные онлайн-сервисы для размещения вредоносных компонентов, что помогало скрывать их активность и затрудняло анализ атак».
Тем временем BI.ZONE обнаружила несколько атак на российские организации с использованием таких семейств вредоносного ПО, как LxBase RAT, CoreRAT и NightStrike RAT. LxBase RAT, коммерческий троян стоимостью 119 долларов в месяц, распространяется через массовые фишинговые кампании, в то время как цепочки заражения CoreRAT используют фишинговые письма, содержащие 7zSFX и Rust-дропперы для доставки. Эта активность была приписана группе Core Werewolf, которая, как считается, имеет определенный уровень совпадения с Vortex Werewolf. Атаки с использованием NightStrike RAT были связаны с кластером кибершпионажа, ранее занимавшимся хактивизмом, получившим название Insolent Werewolf. Первоначальный доступ достигается с помощью атак типа ClickFix для развертывания NetSupport Manager с целью получения удаленного доступа.
«Insolent Werewolf также использует Octowave Loader для развертывания имплантов AdaptixC2 и фреймворка постэксплуатации Havoc на скомпрометированных системах, — заявили в BI.ZONE, добавив, что арсенал вредоносного ПО группы включает другие трояны удаленного доступа, такие как CapDoor и NightWire. — NightStrike, написанный на C++, предположительно создан разработчиком NightWire, судя по сходству в стиле кодирования. Использование разнообразных фреймворков и собственного вредоносного ПО позволяет злоумышленнику адаптировать инструменты к конкретным условиям атаки и снизить вероятность обнаружения».
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
