Le autorità russe hanno arrestato tre presunti membri di VasyGrek e smantellato l'infrastruttura usata dal gruppo di cybercriminali, come ha riportato The Hacker News il 4 novembre. Il ministero dell'Interno russo (MVD) ha dichiarato che i sospetti erano coinvolti nel furto di denaro dai conti di organizzazioni e nella creazione, distribuzione e utilizzo di malware.
Il gruppo, noto anche come Fluffy Wolf, prende di mira aziende russe e internazionali dal 2016. Una ricerca di Kaspersky citata nel rapporto ha registrato più di 100 tentativi di attacco contro organizzazioni in Russia, Bielorussia e Kazakistan tra gennaio e settembre 2026. Queste cifre si riferiscono a tentativi di attacco, non a compromissioni confermate né a un conteggio delle vittime.
Documenti finanziari usati per distribuire malware
Il ministero ha evidenziato un episodio del settembre 2025, in cui gli attaccanti avrebbero inviato a un'organizzazione non identificata un'email di phishing mascherata da corrispondenza commerciale. Il messaggio invitava i destinatari ad aprire un rapporto di riconciliazione, cioè un documento usato per confrontare registrazioni finanziarie, che ha fatto scattare l'esecuzione del malware. Il ministero ha dichiarato che gli attaccanti hanno trasferito 660.000 rubli, circa 8.000 dollari, dal conto bancario dell'organizzazione a conti da loro controllati.
Il MVD ha descritto una rete di domini di phishing che imitano siti di servizi finanziari e contabili, supportata da server virtuali ospitati all'estero. Ha inoltre affermato che gli strumenti per l'amministrazione remota occulta erano stati acquistati nel dark web.
Le ricerche di aziende di cybersicurezza russe BI.ZONE e F6, citate da The Hacker News, descrivono VasyGrek come un gruppo motivato da ragioni economiche. Secondo i loro risultati, l'accesso iniziale avviene tramite email di phishing con allegati presentati come documenti finanziari.
Il toolkit del gruppo combina malware facilmente reperibili con software legittimo di accesso remoto. Comprende MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key e PowerLoader, insieme a Remote Utilities. I remote access trojan, o RAT, permettono agli attaccanti di controllare i computer infetti.
Attacchi estesi a Bielorussia e Kazakistan
Il rapporto di Kaspersky, pubblicato nella settimana in cui sono usciti gli articoli sull'arresto, descrive attacchi che usano documenti esca per distribuire una backdoor scritta in Go. La backdoor può eseguire comandi arbitrari su un dispositivo infetto, offrendo agli attaccanti un modo per dirigere ulteriori attività.
I tentativi di attacco hanno preso di mira principalmente aziende metallurgiche, fornitori all'ingrosso di materie prime e forniture industriali, e agenzie governative. Altri obiettivi operavano nei settori sanitario, petrolifero e del gas, energetico, finanziario e agricolo.
Nikita Nazarov, responsabile della ricerca sulle minacce avanzate di Kaspersky, ha dichiarato che nel 2026 il gruppo ha esteso il proprio raggio d'azione, in precedenza concentrato su organizzazioni russe, a potenziali vittime in Bielorussia e Kazakistan. Ha inoltre descritto catene di infezione articolate in più fasi e l'uso di servizi online legittimi per ospitare componenti malevoli, che aiuta a occultare l'attività e complica l'analisi.
Campagne separate contro organizzazioni russe
The Hacker News ha inoltre citato i risultati di BI.ZONE su attacchi separati contro organizzazioni russe che coinvolgono LxBase RAT, CoreRAT e NightStrike RAT.
LxBase RAT, un trojan commerciale venduto a 119 dollari al mese, si diffonde attraverso campagne di phishing di massa. Le catene di distribuzione di CoreRAT usano email di phishing con archivi autoestraenti 7zSFX e dropper basati su Rust, programmi che installano ulteriore malware. I ricercatori hanno attribuito questa attività a Core Werewolf, che secondo loro presenta alcune sovrapposizioni con Vortex Werewolf.
BI.ZONE ha associato gli attacchi di NightStrike RAT a Insolent Werewolf, gruppo descritto come passato dall'hacktivism allo spionaggio informatico. L'accesso iniziale sfrutta esche in stile ClickFix, che inducono gli utenti a compiere azioni che eseguono comandi malevoli, per installare l'applicazione di accesso remoto NetSupport Manager.
I ricercatori hanno dichiarato che Insolent Werewolf usa anche Octowave Loader per distribuire implant AdaptixC2 e Havoc per le attività successive alla compromissione, insieme ai remote access trojan CapDoor e NightWire. Secondo la loro valutazione, NightStrike, scritto in C++, è probabilmente stato sviluppato dallo sviluppatore di NightWire, per via delle somiglianze nello stile di codifica.
Nel caso VasyGrek, le autorità russe hanno perquisito le abitazioni dei sospetti e i locali adibiti a uffici utilizzati per le operazioni. La polizia ha sequestrato apparecchiature informatiche, dispositivi di comunicazione e altri oggetti che il ministero ha definito prove.
