Die russischen Behörden haben drei mutmaßliche Mitglieder von VasyGrek festgenommen und die Infrastruktur zerschlagen, die von der Cybercrime-Gruppe genutzt wurde. berichtete The Hacker News am 4. November. Das Innenministerium Russlands (MVD) erklärte, die Verdächtigen seien in den Diebstahl von Geld von Firmenkonten sowie in das Erstellen, Verbreiten und Nutzen von Schadsoftware verwickelt gewesen.
Die Gruppe, auch Fluffy Wolf genannt, hat seit 2016 russische und internationale Unternehmen ins Visier genommen. Laut Kaspersky-Untersuchungen, die im Bericht zitiert werden, wurden zwischen Januar und September 2026 mehr als 100 versuchte Angriffe auf Organisationen in Russland, Belarus und Kasachstan verzeichnet. Diese Zahlen beziehen sich auf versuchte Angriffe, nicht auf bestätigte Kompromittierungen oder eine Opferzahl.
Finanzdokumente zur Verbreitung von Schadsoftware
Das Ministerium verwies auf einen Vorfall im September 2025, bei dem die Angreifer angeblich eine Phishing-E-Mail an eine nicht genannte Organisation schickten, die als Geschäftskorrespondenz getarnt war. Die Empfänger wurden aufgefordert, einen Abgleichsbericht zu öffnen, also ein Dokument, mit dem Finanzunterlagen verglichen werden. Dadurch wurde die Schadsoftware ausgeführt. Das Ministerium erklärte, die Angreifer hätten 660.000 Rubel, etwa 8.000 US-Dollar, vom Bankkonto der Organisation auf eigene Konten überwiesen.
Das MVD beschrieb ein Netz von Phishing-Domains, die Websites von Finanz- und Buchhaltungsdiensten nachahmten und von im Ausland gehosteten virtuellen Servern unterstützt wurden. Es hieß, Werkzeuge für die verdeckte Fernverwaltung seien im Darknet gekauft worden.
Untersuchungen der russischen Cybersicherheitsfirmen BI.ZONE und F6, die von The Hacker News zitiert werden, stufen VasyGrek als finanziell motiviert ein. Ihren Ergebnissen zufolge erfolgt der initiale Zugriff über Phishing-E-Mails mit Anhängen, die als Finanzdokumente ausgegeben werden.
Das gemeldete Werkzeugset der Gruppe kombiniert frei verfügbare Schadsoftware mit legitimer Fernzugriffssoftware. Es umfasst MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key und PowerLoader sowie Remote Utilities. Remote-Access-Trojaner, kurz RATs, ermöglichen Angreifern die Kontrolle über infizierte Computer.
Angriffe weiten sich auf Belarus und Kasachstan aus
Der Kaspersky-Bericht erschien in der Woche, in der über die Festnahmen berichtet wurde. Er beschreibt Angriffe, bei denen Köderdokumente ein in Go geschriebenes Backdoor ausliefern. Das Backdoor kann beliebige Befehle auf einem infizierten Gerät ausführen und gibt Angreifern so die Möglichkeit, weitere Aktivitäten zu steuern.
Die versuchten Angriffe richteten sich vor allem gegen Unternehmen der Metallurgie, Großhändler für Rohstoffe und Industriebedarf sowie Behörden. Weitere Ziele waren im Gesundheitswesen, in der Öl- und Gasbranche, im Energiesektor, im Finanzwesen und in der Landwirtschaft tätig.
Nikita Nazarov, Leiter der Abteilung für fortgeschrittene Bedrohungsforschung bei Kaspersky, sagte, die Gruppe habe ihren bisherigen Schwerpunkt auf russische Organisationen im Laufe des Jahres 2026 auf mögliche Opfer in Belarus und Kasachstan ausgedehnt. Er beschrieb zudem mehrstufige Infektionsketten und die Nutzung legitimer Online-Dienste, um schädliche Komponenten zu hosten. Dadurch werde die Aktivität verschleiert und die Analyse erschwert.
Separate Kampagnen zielen auf russische Organisationen
The Hacker News verwies außerdem auf Erkenntnisse von BI.ZONE zu separaten Angriffen auf russische Organisationen, bei denen LxBase RAT, CoreRAT und NightStrike RAT zum Einsatz kamen.
LxBase RAT ist ein kommerzieller Trojaner, der für 119 US-Dollar pro Monat angeboten wird und sich über Massen-Phishing-Kampagnen verbreitet. CoreRAT-Angriffsketten nutzen Phishing-E-Mails mit selbstentpackenden 7zSFX-Archiven und Rust-basierten Droppern, also Programmen, die weitere Schadsoftware installieren. Die Forscher ordneten diese Aktivität der Gruppe Core Werewolf zu, die nach Einschätzung der Forscher gewisse Überschneidungen mit Vortex Werewolf aufweist.
BI.ZONE brachte NightStrike-RAT-Angriffe mit Insolent Werewolf in Verbindung, einer Gruppe, die laut Beschreibung vom Hacktivismus zur Cyberspionage gewechselt ist. Der initiale Zugriff erfolgt über ClickFix-ähnliche Köder, die Nutzer dazu bringen, Aktionen auszuführen, die schädliche Befehle starten. So wird die Fernzugriffsanwendung NetSupport Manager eingespielt.
Die Forscher erklärten, Insolent Werewolf nutze außerdem Octowave Loader, um AdaptixC2- und Havoc-Implants für Aktivitäten nach der Kompromittierung auszuliefern, sowie die Fernzugriffstrojaner CapDoor und NightWire. Sie schätzten ein, dass NightStrike, das in C++ geschrieben ist, wahrscheinlich vom Entwickler von NightWire erstellt wurde, wegen Ähnlichkeiten im Programmierstil.
Im Fall VasyGrek durchsuchten russische Behörden die Wohnungen der Verdächtigen sowie die für die Operationen genutzten Büroräume. Die Polizei beschlagnahmte Computerhardware, Kommunikationsgeräte und weitere Gegenstände, die das Ministerium als Beweismittel bezeichnete.
