Les autorités russes ont arrêté trois membres présumés de VasyGrek, un groupe cybercriminel également connu sous le nom de Fluffy Wolf, à la suite d’une enquête sur des attaques contre des logiciels malveillants et des vols financiers. La police affirme avoir démantelé l’infrastructure du groupe et saisi le matériel électronique utilisé dans ses opérations.
Selon le ministère russe de l’Intérieur, les suspects auraient ciblé des entreprises à travers des campagnes de phishing visant à voler de l’argent sur des comptes bancaires d’entreprises. Les activités du groupe remonteraient au moins à 2016, la plupart de ses victimes connues étant situées en Russie.
L’un des incidents décrits par les enquêteurs s’est produit en septembre 2025, lorsqu’un employé d’une entreprise non identifiée a reçu un courriel déguisé en correspondance professionnelle de routine. La pièce jointe semblait contenir un document de rapprochement financier mais a en réalité exécuté un logiciel malveillant lors de son ouverture.
Les enquêteurs allèguent que les assaillants ont ensuite obtenu un accès à distance à l’ordinateur de l’employé et au système bancaire en ligne de l’entreprise. Ils ont transféré plus de 660 000 roubles, soit environ 8 000 $, dans des comptes qu’ils contrôlaient.
L’opération reposait sur des sites de phishing se faisant passer pour des services financiers et comptables, ainsi que sur des serveurs hébergés hors de Russie. Les autorités ont indiqué que les suspects avaient également obtenu des outils d’administration à distance auprès de places de marché clandestines pour maintenir l’accès à des ordinateurs compromis.
La police a fouillé les locaux résidentiels et de bureaux associés aux suspects, confisquant des ordinateurs, des dispositifs de communication et d’autres preuves potentielles. Selon des médias russes, le chef présumé a été placé en résidence surveillée, tandis que deux complices présumés ont été libérés sous restrictions de voyage.
Des chercheurs en cybersécurité ont documenté séparément une expansion des opérations de VasyGrek. Kaspersky a signalé la détection de plus de 100 tentatives d’attaque attribuées au groupe entre janvier et septembre 2026, ciblant des organisations en Russie, en Biélorussie et au Kazakhstan.
Les campagnes se concentraient principalement sur les entreprises métallurgiques, les fournisseurs industriels et les agences gouvernementales. Des entreprises opérant dans les secteurs de la santé, de l’agriculture, de la finance, de l’énergie et de l’industrie pétrolière et gazière figuraient également parmi les cibles.
Les chercheurs ont découvert que VasyGrek utilisait des pièces jointes malveillantes déguisées en documents financiers pour distribuer des logiciels malveillants volant des informations et des chevaux de Troie d’accès à distance. Son arsenal rapporté comprenait MetaStealer, PureCrypter, WarZone RAT et d’autres programmes malveillants commercialement disponibles.
Certaines campagnes ont également déployé une porte dérobée basée sur Golang capable d’exécuter des commandes sur des appareils infectés. Kaspersky a indiqué que les attaquants utilisaient des méthodes d’infection à plusieurs étages et des services en ligne légitimes pour héberger des composants malveillants, rendant leur activité plus difficile à détecter et à enquêter.
Les trois suspects font face à des allégations de vol financier et de développement ou de distribution de logiciels malveillants. Selon un reportage de Recorded Future News, l’accusation de vol peut entraîner une peine de prison pouvant aller jusqu’à dix ans, tandis que l’accusation liée aux logiciels malveillants peut entraîner jusqu’à cinq ans.
Les autorités russes affirment que l’infrastructure du groupe a été perturbée, mais il reste incertain si d’autres membres de VasyGrek sont encore actifs ou si les arrestations ont définitivement mis fin à ses opérations.