Las autoridades rusas han detenido a tres presuntos miembros de VasyGrek y desmantelado la infraestructura que usaba el grupo de cibercrimen, según informó The Hacker News el 4 de noviembre. El Ministerio del Interior de Rusia (MVD) afirmó que los sospechosos estaban implicados en el robo de dinero de cuentas de organizaciones y en la creación, distribución y uso de malware.
El grupo, también conocido como Fluffy Wolf, ha atacado a empresas rusas e internacionales desde 2016. Una investigación de Kaspersky citada en el informe registró más de 100 intentos de ataque contra organizaciones de Rusia, Bielorrusia y Kazajistán entre enero y septiembre de 2026. Esas cifras describen intentos de ataque, y no compromisos confirmados ni un recuento de víctimas.
Documentos financieros usados para distribuir malware
El ministerio destacó un incidente de septiembre de 2025 en el que, supuestamente, los atacantes enviaron a una organización no identificada un correo de phishing disfrazado de correspondencia comercial. El mensaje pedía abrir un informe de conciliación, es decir, un documento que se usa para comparar registros financieros, y eso habría activado la ejecución del malware. El ministerio afirmó que los atacantes transfirieron 660.000 rublos, unos 8.000 dólares, de la cuenta bancaria de la organización a cuentas que controlaban.
El MVD describió una red de dominios de phishing que imitaban sitios web de servicios financieros y contables, con el respaldo de servidores virtuales alojados en el extranjero. Según el ministerio, se compraron en la dark web herramientas para la administración remota encubierta.
Una investigación de las empresas rusas de ciberseguridad BI.ZONE y F6, citada por The Hacker News, caracteriza a VasyGrek como un grupo motivado por el dinero. Sus conclusiones describen el acceso inicial mediante correos de phishing con archivos adjuntos que se presentaban como documentos financieros.
Según se informa, el conjunto de herramientas del grupo combina malware de fácil acceso con software legítimo de acceso remoto. Incluye MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key y PowerLoader, junto con Remote Utilities. Los troyanos de acceso remoto (RAT, por sus siglas en inglés) permiten a los atacantes controlar los equipos infectados.
Los ataques se extienden a Bielorrusia y Kazajistán
El informe de Kaspersky, publicado durante la semana en que se cubrió la detención, describe ataques que usaban documentos señuelo para instalar una puerta trasera escrita en Go. Esta puerta trasera puede ejecutar comandos arbitrarios en un dispositivo infectado, lo que da a los atacantes una forma de dirigir la actividad posterior.
Los intentos de ataque se dirigieron principalmente contra empresas metalúrgicas, proveedores mayoristas de materias primas y suministros industriales, y organismos gubernamentales. Otros objetivos operaban en los sectores sanitario, de petróleo y gas, energía, finanzas y agricultura.
Nikita Nazarov, responsable de investigación de amenazas avanzadas de Kaspersky, afirmó que, durante 2026, el grupo amplió su foco principal, que hasta entonces eran las organizaciones rusas, hacia posibles víctimas en Bielorrusia y Kazajistán. También describió secuencias de infección con varias etapas y el uso de servicios en línea legítimos para alojar componentes maliciosos, lo que ayuda a ocultar la actividad y dificulta el análisis.
Campañas independientes dirigidas a organizaciones rusas
The Hacker News citó también las conclusiones de BI.ZONE sobre ataques independientes contra organizaciones rusas que utilizan LxBase RAT, CoreRAT y NightStrike RAT.
LxBase RAT es un troyano comercial que cuesta 119 dólares al mes y se difunde mediante campañas masivas de phishing. Las cadenas de distribución de CoreRAT usan correos de phishing con archivos autoextraíbles 7zSFX y droppers escritos en Rust, programas que instalan más malware. Los investigadores atribuyeron esa actividad a Core Werewolf, que, según su evaluación, comparte cierta superposición con Vortex Werewolf.
BI.ZONE asoció los ataques con NightStrike RAT a Insolent Werewolf, un grupo que, según se describe, pasó del hacktivismo al ciberespionaje. Su acceso inicial utiliza señuelos al estilo ClickFix, que engañan a los usuarios para que realicen acciones que ejecutan comandos maliciosos, con el fin de instalar la aplicación de acceso remoto NetSupport Manager.
Los investigadores afirmaron que Insolent Werewolf también usa Octowave Loader para instalar implantes AdaptixC2 y Havoc destinados a la actividad posterior al compromiso, junto con los troyanos de acceso remoto CapDoor y NightWire. Evaluaron que NightStrike, escrito en C++, probablemente fue creado por el desarrollador de NightWire debido a similitudes en el estilo de programación.
En el caso de VasyGrek, las autoridades rusas registraron los domicilios de los sospechosos y los locales de oficina utilizados para las operaciones. La policía incautó equipos informáticos, dispositivos de comunicación y otros objetos que el ministerio describió como pruebas.
