Les autorités russes ont arrêté trois membres présumés de VasyGrek et démantelé l'infrastructure utilisée par ce groupe de cybercriminels, selon The Hacker News, le 4 novembre. Le ministère russe de l'Intérieur (MVD) a indiqué que les suspects étaient impliqués dans le vol de fonds sur les comptes d'organisations, ainsi que dans la création, la diffusion et l'utilisation de logiciels malveillants.
Le groupe, également appelé Fluffy Wolf, cible des entreprises russes et internationales depuis 2016. Les recherches de Kaspersky citées dans le rapport ont recensé plus de 100 tentatives d'attaque contre des organisations en Russie, en Biélorussie et au Kazakhstan entre janvier et septembre 2026. Ces chiffres décrivent des tentatives d'attaque, et non des compromissions confirmées ni un décompte de victimes.
Des documents financiers utilisés pour diffuser des logiciels malveillants
Le ministère a mis en avant un incident de septembre 2025, au cours duquel les attaquants auraient envoyé à une organisation non identifiée un courriel d'hameçonnage déguisé en correspondance professionnelle. Le message demandait aux destinataires d'ouvrir un rapport de rapprochement — un document servant à comparer des relevés financiers —, ce qui déclenchait l'exécution d'un logiciel malveillant. Le ministère a indiqué que les attaquants avaient transféré 660 000 roubles, soit environ 8 000 dollars, depuis le compte bancaire de l'organisation vers des comptes qu'ils contrôlaient.
Le MVD a décrit un réseau de domaines d'hameçonnage imitant les sites de services financiers et comptables, soutenu par des serveurs virtuels hébergés à l'étranger. Il a précisé que des outils d'administration à distance discrète avaient été achetés sur le dark web.
Les recherches des entreprises russes de cybersécurité BI.ZONE et F6, citées par The Hacker News, décrivent VasyGrek comme un groupe à motivation financière. Leurs conclusions font état d'un accès initial par courriels d'hameçonnage contenant des pièces jointes présentées comme des documents financiers.
L'arsenal attribué au groupe associe des logiciels malveillants facilement accessibles à des logiciels légitimes d'accès à distance. Il comprend MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key et PowerLoader, ainsi que Remote Utilities. Les chevaux de Troie d'accès à distance, ou RAT (Remote Access Trojans), permettent aux attaquants de contrôler les ordinateurs infectés.
Des attaques étendues à la Biélorussie et au Kazakhstan
Le rapport de Kaspersky, publié pendant la semaine de couverture de l'arrestation, décrit des attaques utilisant des documents leurres pour déployer une porte dérobée écrite en Go. Cette porte dérobée peut exécuter des commandes arbitraires sur un appareil infecté, ce qui permet aux attaquants de diriger la suite de leur activité.
Les tentatives d'attaque visaient principalement des entreprises de métallurgie, des fournisseurs en gros de matières premières et de fournitures industrielles, ainsi que des administrations publiques. D'autres cibles relevaient des secteurs de la santé, du pétrole et du gaz, de l'énergie, de la finance et de l'agriculture.
Nikita Nazarov, responsable de la recherche sur les menaces avancées chez Kaspersky, a indiqué qu'en 2026 le groupe avait élargi son champ d'action, jusque-là centré principalement sur des organisations russes, à de potentielles victimes en Biélorussie et au Kazakhstan. Il a également décrit des séquences d'infection en plusieurs étapes et l'utilisation de services en ligne légitimes pour héberger des composants malveillants, ce qui contribue à dissimuler l'activité et complique son analyse.
Des campagnes distinctes visent des organisations russes
The Hacker News a également cité les conclusions de BI.ZONE sur des attaques distinctes contre des organisations russes, impliquant LxBase RAT, CoreRAT et NightStrike RAT.
LxBase RAT, un cheval de Troie commercial vendu 119 dollars par mois, se propage par le biais de campagnes d'hameçonnage de masse. Les chaînes d'infection de CoreRAT utilisent des courriels d'hameçonnage contenant des archives auto-extractibles 7zSFX et des droppers écrits en Rust, c'est-à-dire des programmes qui installent d'autres logiciels malveillants. Les chercheurs ont attribué cette activité à Core Werewolf, dont ils estiment qu'il présente un certain recoupement avec Vortex Werewolf.
BI.ZONE attribue les attaques NightStrike RAT à Insolent Werewolf, un groupe décrit comme étant passé de l'hacktivisme à l'espionnage informatique. Son accès initial repose sur des leurres de type ClickFix, qui incitent les utilisateurs à effectuer des actions exécutant des commandes malveillantes, afin de déployer l'application d'accès à distance NetSupport Manager.
Les chercheurs ont indiqué qu'Insolent Werewolf utilise aussi Octowave Loader pour déployer les implants AdaptixC2 et Havoc, destinés aux activités après compromission, ainsi que les chevaux de Troie d'accès à distance CapDoor et NightWire. Ils estiment que NightStrike, écrit en C++, a probablement été créé par le développeur de NightWire, en raison de similitudes dans le style de codage.
Dans l'affaire VasyGrek, les autorités russes ont perquisitionné les domiciles des suspects ainsi que les locaux professionnels utilisés pour les opérations. La police a saisi du matériel informatique, des appareils de communication et d'autres objets que le ministère a qualifiés de preuves.
