Les autorités russes ont arrêté trois personnes soupçonnées d’appartenir à VasyGrek, également connu sous le nom de Fluffy Wolf, et démantelé une infrastructure qui aurait été utilisée par le groupe. Le ministère de l’Intérieur de la Fédération de Russie a déclaré que les suspects étaient soupçonnés d’avoir dérobé de l’argent sur les comptes d’organisations et d’avoir créé, distribué et utilisé des logiciels malveillants.
Le ministère a évoqué un incident survenu en septembre 2025, au cours duquel des attaquants auraient envoyé un courriel d’hameçonnage présenté comme une correspondance commerciale. Les destinataires étaient invités à ouvrir un rapport de rapprochement, ce qui déclenchait le logiciel malveillant. L’organisation a perdu 660 000 roubles, soit environ 8 000 dollars, après le transfert des fonds par les attaquants vers des comptes qu’ils contrôlaient.
Selon le ministère, le groupe utilisait des domaines d’hameçonnage imitant des services financiers et comptables, ainsi que des serveurs virtuels à l’étranger. Ses membres se procuraient également sur le dark web des outils d’administration à distance dissimulés. La police a perquisitionné les domiciles des suspects et les locaux professionnels qu’ils auraient utilisés, saisissant du matériel informatique, des appareils de communication et d’autres éléments susceptibles de servir de preuves.
Les entreprises russes de cybersécurité BI.ZONE et F6 ont décrit VasyGrek comme un groupe motivé par l’appât du gain et indiqué qu’il cherchait généralement à obtenir un accès initial au moyen de courriels d’hameçonnage contenant des pièces jointes déguisées en documents financiers. Parmi les outils attribués au groupe figurent des voleurs d’informations, des chevaux de Troie et des logiciels légitimes d’accès à distance.
Kaspersky a indiqué avoir recensé plus de 100 tentatives d’attaque de VasyGrek contre des organisations en Russie, au Bélarus et au Kazakhstan entre janvier et septembre 2026. Les attaques utilisaient des documents leurres pour diffuser une porte dérobée écrite en Golang, capable d’exécuter des commandes sur les appareils infectés. Les cibles comprenaient des entreprises de la métallurgie et de l’approvisionnement industriel, ainsi que des organisations des secteurs public, de la santé, de l’énergie, de la finance, de l’agriculture et d’autres secteurs.
Le chercheur de Kaspersky Nikita Nazarov a déclaré que les cibles potentielles du groupe s’étaient étendues au-delà de la Russie et incluaient désormais des organisations au Bélarus et au Kazakhstan. Le rapport a également relevé l’utilisation de méthodes d’infection en plusieurs étapes et de services en ligne légitimes pour héberger des composants malveillants.
Sources: The Hacker News.