Rus yetkililer VasyGrek olarak bilinen tehdit grubundan şüphelenilen üç üyesini gözaltına aldı ve suç altyapısını çökertti.
Grubun diğer adı Fluffy Wolf. 2016’dan beri Rus ve uluslararası şirketleri hedef aldığı biliniyor.
Rusya Federasyonu İçişleri Bakanlığı MVD, grubun üyelerinin kurumların hesaplarından para zimmetine para geçirmekten, ayrıca kötü amaçlı yazılım oluşturmaktan, dağıtmakdan ve kullanmaktan şüphelenildiğini açıkladı.
Bakanlığın vurguladığı eylül 2025 tarihli bir olayda saldırganların kimliği belirsiz bir kuruluşa iş yazışması taklidiyle kimlik avı e-postası gönderdiği belirtiliyor. Alıcılara uyum raporunu açmaları talimatı verildi ve bu da kötü amaçlı yazılımın çalışmasını tetikledi.
Olay sonucunda kuruluşun banka hesabından 660 bin ruble 8 bin dolar kayboldu ve saldırganlar parayı kendi kontrolündeki hesaplara aktardı.
MVD, saldırılarda finans ve muhasebe hizmeti sitelerini taklit eden geniş bir kimlik avı etki alanı ağı ile yurt dışında bulunan sanal sunucuların kullanıldığını söyledi. Gizli uzaktan yönetim araçlarının karanlık ağdan temin edildiği belirtildi.
Nadir görülen bu operasyon kapsamında Rus yetkililer şüphelilerin ikametgahlarında ve operasyon için kullandıkları ofislerde arama yaptı. Bilgisayar ekipmanı, iletişim cihazları ve delil niteliğindeki diğer eşyalar ele geçirildi.
Rus siber güvenlik şirketi BI.ZONE ve F6’nın raporlarına göre VasyGrek finansal motivasyonlu bir tehdit aktörü. İlk erişimi finansal belge kılığına girmiş ekli kimlik avı e-postaları göndererek sağlıyor.
Grubun araçları arasında MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key ve PowerLoader gibi raflardan alınmış çalıntı yazılımlar ve trojanlar ile Remote Utilities gibi meşru uzaktan erişim yazılımları bulunuyor.
Bu hafta yayımlanan bir raporda Kaspersky, ocak-eylül 2026 arasında VasyGrek’in Rusya, Belarus ve Kazakistan’daki kuruluşlara yönelik 100’den fazla saldırı girişimi kaydettiğini bildirdi. Saldırılarda enfekte cihazda keyfi komut çalıştırabilen Golang arka kapısını bırakmak için yem belgeleri kullanıldığı da görüldü.
Saldırılar özellikle metalurji sektöründeki kuruluşları, hammadde ve endüstriyel malzeme toptancıları ile devlet kurumlarını hedef aldı. Sağlık, petrol ve gaz, enerji, finans ve tarım sektörlerindeki kuruluşlar da hedefler arasındaydı.
Kaspersky’de ileri tehdit araştırmaları sorumlusu Nikita Nazarov, grubun saldırı coğrafyasını genişlettiğini söyledi. Daha önce başlıca hedefi Rus kuruluşlarıyken bu yıl potansiyel mağdurlar arasında Belarus ve Kazakistan’dan şirketler de yer aldı.
Saldırganların faaliyetlerini gizlemek ve saldırı analizini zorlaştırmak için kötü amaçlı bileşenleri barındırmak üzere çok aşamalı enfeksiyon şemaları ve meşru çevrimiçi hizmetlerin kullanıldığı belirtildi.
Gelişme, BI.ZONE’un Rus kuruluşlarını hedef alan LxBase RAT, CoreRAT ve NightStrike RAT gibi kötü amaçlı yazılım ailelerini kullanan çok sayıda saldırı tespit ettiği haberinin ardından geldi.
Aylık 119 dolar karşılığında kiralanan ticari bir trojan olan LxBase RAT kitlesel kimlik avı kampanyalarıyla dağıtılıyor. CoreRAT enfeksiyon zincirleri ise teslimat için 7zSFX ve Rust damlaları içeren kimlik avı e-postaları kullanıyor. Bu faaliyet Core Werewolf’a atfediliyor ve Vortex Werewolf ile bir miktar örtüşme olduğu değerlendiriliyor.
NightStrike RAT kullanan saldırılar, Insolent Werewolf olarak adlandırılan hacktivist kökenli siber casusluk kümesiyle ilişkilendiriliyor. İlk erişim, uzaktan erişim sağlamak için NetSupport Manager’ı dağıtmak üzere ClickFix tarzı saldırılarla elde ediliyor.
BI.ZONE’a göre Insolent Werewolf, tehlikeye atılan sistemlerde AdaptixC2 ve Havoc sonrası sömürü çerçevesi implantlarını dağıtmak için Octowave Loader’ı da kullanıyor. Grubun kötü amaçlı yazılım cephaneliğinde CapDoor ve NightWire gibi diğer uzaktan erişim trojanları da bulunuyor.
C++ ile yazılmış bir RAT olan NightStrike’ın, kodlama tarzındaki benzerlikler nedeniyle NightWire geliştiricisi tarafından oluşturulmuş olması muhtemel. Çeşitli çerçeveler ve kendi özel kötü amaçlı yazılımlarını kullanmak, saldırganın araçları belirli saldırı koşullarına göre uyarlamasına ve tespit edilme olasılığını azaltmasına olanak tanır.
