As autoridades russas prenderam três suspeitos de integrar um grupo de ameaças conhecido como VasyGrek e desmantelaram sua infraestrutura criminosa.
Também conhecido como Fluffy Wolf, o ator de ameaças tem histórico de ataques contra empresas russas e internacionais desde 2016.
O Ministério de Assuntos Internos da Federação Russa (MVD) afirmou que membros do grupo são “suspeitos de desviar recursos das contas de organizações, além de criar, distribuir e usar softwares maliciosos”.
Em um caso de setembro de 2025 destacado pelo ministério, os invasores teriam enviado um e-mail de phishing a uma organização não identificada, disfarçado de correspondência comercial e orientando os destinatários a abrir um relatório de conciliação que acionou a execução de um malware.
O incidente resultou em perdas de 660 mil rublos (US$ 8 mil) da conta bancária da organização, com os invasores transferindo os valores para contas sob seu controle.
“Os ataques utilizaram uma vasta rede de domínios de phishing que imitavam sites de serviços financeiros e contábeis, além de servidores virtuais localizados em outros países”, afirmou o MVD. “Ferramentas de administração remota encoberta foram adquiridas na dark web.”
A rara ação das forças de segurança incluiu buscas nas residências dos suspeitos e nos escritórios que eles usavam para conduzir as operações. A operação também levou à apreensão de equipamentos de informática, dispositivos de comunicação e outros itens com valor probatório.
Segundo relatórios da empresa russa de cibersegurança BI.ZONE e da F6, o VasyGrek é avaliado como um ator de ameaças motivado por ganhos financeiros, que obtém acesso inicial enviando e-mails de phishing com anexos disfarçados de documentos financeiros.
Entre as principais ferramentas de seu arsenal estão stealers (programas para roubo de dados) e trojans de acesso remoto (RAT, sigla em inglês para remote access trojan) prontos para uso, como MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key e PowerLoader, além de softwares legítimos de acesso remoto, como o Remote Utilities.
Em relatório publicado nesta semana, a Kaspersky afirmou ter registrado mais de 100 tentativas de ataque orquestradas pelo VasyGrek contra organizações na Rússia, Belarus e Cazaquistão entre janeiro e setembro de 2026. Esses ataques também foram observados com o uso de documentos-isca para instalar um backdoor (porta dos fundos) escrito na linguagem Go (Golang), capaz de executar comandos arbitrários no dispositivo infectado.
Os ataques tiveram como alvos principais entidades do setor metalúrgico, fornecedores atacadistas de matérias-primas e insumos industriais e órgãos governamentais. Outros alvos incluíram organizações dos setores de saúde, petróleo e gás, energia, finanças e agricultura.
“O grupo ampliou sua geografia de ataques: enquanto antes seu principal alvo eram organizações russas, este ano as potenciais vítimas também incluíram empresas de Belarus e Cazaquistão”, afirmou Nikita Nazarov, chefe de pesquisa de ameaças avançadas da Kaspersky, em comunicado.
“Os invasores usaram esquemas de infecção em múltiplas etapas e serviços online legítimos para hospedar componentes maliciosos, o que ajudou a ocultar suas atividades e dificultou a análise dos ataques.”
A divulgação ocorre no momento em que a BI.ZONE detectou múltiplos ataques contra organizações russas que usaram famílias de malware como LxBase RAT, CoreRAT e NightStrike RAT.
Enquanto o LxBase RAT, um trojan comercial que custa US$ 119 por mês, é distribuído por campanhas de phishing em massa, as cadeias de infecção do CoreRAT utilizam e-mails de phishing com droppers (programas de entrega de malware) 7zSFX e Rust. A atividade foi atribuída ao Core Werewolf, que, segundo avaliações, compartilha algum grau de sobreposição com o Vortex Werewolf.
Insolent Werewolf e o uso de ClickFix
Ataques que implantam o NightStrike RAT foram associados a um agrupamento de espionagem cibernética, antigo grupo hacktivista, batizado de Insolent Werewolf. O acesso inicial é obtido por meio de ataques no estilo ClickFix, que instalam o NetSupport Manager para obter acesso remoto.
“O Insolent Werewolf também utiliza o Octowave Loader para implantar implantes do AdaptixC2 e do framework de pós-exploração Havoc em sistemas comprometidos”, afirmou a BI.ZONE, acrescentando que o arsenal de malware do grupo inclui outros trojans de acesso remoto, como CapDoor e NightWire.
“Um RAT escrito em C++, o NightStrike provavelmente foi criado pelo desenvolvedor do NightWire, com base em semelhanças no estilo de codificação. O uso de diversos frameworks e de malware personalizado permite ao adversário adaptar as ferramentas a condições específicas de ataque e reduzir a probabilidade de detecção.”
