As autoridades russas prenderam três suspeitos de integrar o grupo VasyGrek e desmantelaram sua infraestrutura criminosa.
Também conhecido como Fluffy Wolf, o grupo tem um histórico de ataques contra empresas russas e internacionais desde 2016.
O Ministério do Interior da Federação Russa (MVD) afirmou que os integrantes são “suspeitos de desviar recursos das contas de organizações, além de criar, distribuir e usar malware”.
Em um caso de setembro de 2025 citado pelo ministério, os invasores teriam enviado um e-mail de phishing a uma organização não identificada. A mensagem se passava por uma correspondência comercial e instruía os destinatários a abrir um relatório de conciliação, o que provocava a execução do malware.
O incidente causou um prejuízo de 660.000 rublos (US$ 8.000) na conta bancária da organização. Os invasores transferiram o dinheiro para contas sob seu controle.
“Os ataques utilizaram uma ampla rede de domínios de phishing que imitavam sites de serviços financeiros e contábeis, além de servidores virtuais localizados em outros países”, informou o MVD. “Ferramentas clandestinas de administração remota foram adquiridas na dark web.”
Em uma rara ação policial, as autoridades russas realizaram buscas nas residências dos suspeitos e nos escritórios usados para conduzir as operações. Também apreenderam equipamentos de informática, dispositivos de comunicação e outros itens considerados relevantes para a investigação.
De acordo com relatórios das empresas russas de cibersegurança BI.ZONE e F6, o VasyGrek é um agente de ameaça motivado por ganhos financeiros. O grupo obtém acesso inicial por meio de e-mails de phishing com anexos disfarçados de documentos financeiros.
Entre as principais ferramentas usadas pelo grupo estão information stealers e trojans disponíveis comercialmente, como MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key e PowerLoader. O grupo também usa programas legítimos de acesso remoto, como o Remote Utilities.
Em um relatório publicado nesta semana, a Kaspersky informou ter registrado mais de 100 tentativas de ataque atribuídas ao VasyGrek contra organizações na Rússia, em Belarus e no Cazaquistão, entre janeiro e setembro de 2026. Também foram observados ataques que usaram documentos como isca para instalar um backdoor escrito em Golang, capaz de executar comandos arbitrários no dispositivo infectado.
Os principais alvos foram empresas do setor metalúrgico, fornecedores atacadistas de matérias-primas e insumos industriais, além de órgãos governamentais. Também foram visadas organizações dos setores de saúde, petróleo e gás, energia, finanças e agricultura.
“O grupo ampliou sua área de atuação. Antes, seu principal alvo eram organizações russas; neste ano, empresas de Belarus e do Cazaquistão também passaram a figurar entre as possíveis vítimas”, afirmou Nikita Nazarov, chefe de pesquisa avançada de ameaças da Kaspersky. “Os invasores usaram esquemas de infecção em várias etapas e serviços legítimos na internet para hospedar componentes maliciosos. Isso ajudou a ocultar suas atividades e dificultou a análise dos ataques.”
O caso ocorre enquanto a BI.ZONE detectou vários ataques contra organizações russas que usaram famílias de malware como LxBase RAT, CoreRAT e NightStrike RAT.
O LxBase RAT, um trojan comercial que custa US$ 119 por mês, é distribuído em campanhas de phishing em massa. Já as cadeias de infecção do CoreRAT usam e-mails de phishing com arquivos 7zSFX e programas dropper escritos em Rust para instalar o malware. A atividade foi atribuída ao Core Werewolf, que, segundo avaliações, tem algumas conexões com o Vortex Werewolf.
Ataques que instalaram o NightStrike RAT foram associados ao Insolent Werewolf, um grupo que passou do hacktivismo à espionagem cibernética. O acesso inicial é obtido por meio de ataques no estilo ClickFix, que instalam o NetSupport Manager para permitir o acesso remoto.
“O Insolent Werewolf também usa o Octowave Loader para instalar implantes dos frameworks de pós-exploração AdaptixC2 e Havoc em sistemas comprometidos”, informou a BI.ZONE. A empresa acrescentou que o arsenal de malware do grupo inclui outros trojans de acesso remoto, como CapDoor e NightWire. “Escrito em C++, o NightStrike provavelmente foi criado pelo desenvolvedor do NightWire, devido às semelhanças no estilo de programação. O uso de diferentes frameworks e de malware próprio permite que o grupo adapte suas ferramentas às condições específicas de cada ataque e reduza a probabilidade de detecção.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...