Las autoridades rusas han detenido a tres presuntos miembros de VasyGrek, un grupo cibercriminal también conocido como Fluffy Wolf, tras una investigación sobre ataques de malware y robos financieros. La policía afirma que han desmantelado la infraestructura del grupo y confiscado equipos electrónicos utilizados en sus operaciones.
Según el Ministerio del Interior ruso, los sospechosos supuestamente atacaron negocios mediante campañas de phishing diseñadas para robar dinero de cuentas bancarias corporativas. Las actividades del grupo datan, según se informa, al menos desde 2016, con la mayoría de sus víctimas conocidas ubicadas en Rusia.
Uno de los incidentes descritos por los investigadores ocurrió en septiembre de 2025, cuando un empleado de una empresa no identificada recibió un correo electrónico disfrazado de correspondencia comercial rutinaria. El archivo adjunto parecía contener un documento de conciliación financiera, pero en su lugar ejecutaba software malicioso al abrirlo.
Los investigadores alegan que los atacantes posteriormente obtuvieron acceso remoto al ordenador del empleado y al sistema de banca online de la empresa. Invirtieron más de 660.000 rublos, aproximadamente 8.000 dólares, a cuentas que controlaban.
La operación se basó en sitios web de phishing que se hacían pasar por servicios financieros y contables, junto con servidores alojados fuera de Rusia. Las autoridades dijeron que los sospechosos también obtuvieron herramientas de administración remota de mercados clandestinos para mantener el acceso a ordenadores comprometidos.
La policía registró viviendas y oficinas asociadas con los sospechosos, confiscando ordenadores, dispositivos de comunicación y otras posibles pruebas. Según informes de medios rusos, el presunto líder fue puesto bajo arresto domiciliario, mientras que dos presuntos cómplices fueron puestos en libertad bajo restricciones de viaje.
Investigadores en ciberseguridad han documentado por separado una expansión de las operaciones de VasyGrek. Kaspersky informó de haber detectado más de 100 intentos de ataque atribuidos al grupo entre enero y septiembre de 2026, dirigidos a organizaciones en Rusia, Bielorrusia y Kazajistán.
Las campañas se centraron principalmente en empresas metalúrgicas, proveedores industriales y agencias gubernamentales. También se encontraban entre los objetivos empresas que operaban en los sectores sanitario, agrícola, financiero, energético y del petróleo y gas.
Los investigadores descubrieron que VasyGrek utilizaba archivos adjuntos maliciosos disfrazados de documentos financieros para distribuir malware que roba información y troyanos de acceso remoto. Su kit de herramientas reportado incluía MetaStealer, PureCrypter, WarZone RAT y otros programas maliciosos comercialmente disponibles.
Algunas campañas también desplegaron una puerta trasera basada en Golang capaz de ejecutar comandos en dispositivos infectados. Kaspersky afirmó que los atacantes usaron métodos de infección en varias etapas y servicios legítimos en línea para alojar componentes maliciosos, dificultando su detección e investigación.
Los tres sospechosos enfrentan acusaciones relacionadas con robo financiero y el desarrollo o distribución de malware. Según un reportaje de Recorded Future News, el cargo de robo conlleva una posible pena de prisión de hasta diez años, mientras que el cargo relacionado con malware puede conllevar hasta cinco años.
Las autoridades rusas afirman que la infraestructura del grupo ha sido alterada, pero sigue sin estar claro si otros miembros de VasyGrek siguen activos o si los arrestos han puesto fin permanentemente a sus operaciones.