В МВД РФ сообщили о ликвидации инфраструктуры хак-группы VasyGrek - «Новости»

МВД России сообщило о пресечении деятельности хак-группы VasyGrek, также известной как Fluffy Wolf. Ее участников подозревают в атаках на российские и зарубежные компании, краже денег со счетов организаций, а также создании и распространении малвари. Инфраструктуру группировки ликвидировали, а предполагаемый организатор теперь находится под домашним арестом.

По информации правоохранителей, группировка специализировалась на таргетированном фишинге, причем приманки часто маскировались под бухгалтерские документы и обычную деловую переписку.

Например, в одном из эпизодов, произошедшем в сентябре 2025 года, сотруднику неназванной организации прислали письмо якобы от контрагента с вложением «Акт сверки». После открытия файла на компьютере запустилась малварь, которая предоставила атакующим удаленный доступ к системе, и через «Банк-Клиент» они похитили со счета компании более 660 000 рублей и перевели деньги на подконтрольные счета.

Сообщается, что для атак группа использовала сеть фишинговых доменов, имитировавших финансовые и бухгалтерские сервисы, а также виртуальные серверы за рубежом. Инструменты для скрытого удаленного администрирования участники VasyGrek покупали в даркнете. В МВД отмечают, что активность группировки давно известна правоохранителям России, США и европейских стран.

Практически одновременно специалисты «Лаборатории Касперского» раскрыли подробности недавних кампаний VasyGrek. По данным исследователей, с января по сентябрь 2026 года было зафиксировано более 100 попыток атак на организации в России, Беларуси и Казахстане. Основными целями хакеров стали металлургические предприятия, поставщики сырья и промышленных материалов и госучреждения. Также злоумышленники атаковали компании из сфер здравоохранения, энергетики, финансов, нефтегаза и сельского хозяйства.

В одной из новых цепочек заражения жертве присылали ссылку на архив, замаскированный под бухгалтерские документы. Внутри находился вредоносный установщик: при запуске он открывал файл-приманку и одновременно загружал написанный на Golang бэкдор, позволявший выполнять произвольные команды на зараженной машине.

Исследователи отмечают, что за последний год техническая сторона атак VasyGrek усложнилась. Группировка использовала многоступенчатые цепочки заражения, легитимные онлайн-сервисы для размещения вредоносных компонентов, а также написанные на Rust дропперы для установки бэкдора PureRAT, который закреплялся в системе и позволял удаленно управлять зараженным устройством, в том числе получать доступ к конфиденциальной информации.

Также в 2025–2026 годах арсенал группы пополнился загрузчиком PowerLoader, использующим методы обхода защитных решений, и шифровальщиком Pay2Key. Кроме того, возможности PureRAT были расширены с помощью плагина PluginRemoteDesktop, позволяющего удаленно управлять рабочим столом зараженного устройства.

В рамках расследования сотрудники МВД установили личности участников группы и провели обыски по местам их проживания и в офисах, в ходе которых были изъяты компьютеры, средства связи и другие предметы, «имеющие доказательственное значение».

В отношении фигурантов возбуждены дела по статьям 158, 273 и 173.1 УК РФ. Предполагаемый организатор группировки отправлен под домашний арест, еще двое фигурантов получили подписку о невыезде.