Le autorità russe hanno arrestato tre sospetti membri di VasyGrek, un gruppo di criminali informatici noto anche come Fluffy Wolf, a seguito di un’indagine su attacchi malware e furti finanziari. La polizia afferma di aver smantellato l’infrastruttura del gruppo e sequestrato apparecchiature elettroniche utilizzate nelle sue operazioni.
Secondo il Ministero dell’Interno russo, i sospetti avrebbero preso di mira aziende attraverso campagne di phishing volte a rubare denaro dai conti bancari aziendali. Le attività del gruppo risalgono almeno al 2016, con la maggior parte delle sue vittime note situate in Russia.
Uno degli episodi descritti dagli investigatori è avvenuto nel settembre 2025, quando un dipendente di un’azienda non identificata ha ricevuto un’email mascherata da corrispondenza commerciale di routine. L’allegato sembrava contenere un documento di riconciliazione finanziaria ma invece ha eseguito software malevolo quando è stato aperto.
Gli investigatori sostengono che gli aggressori hanno successivamente ottenuto accesso remoto al computer del dipendente e al sistema bancario online dell’azienda. Hanno trasferito più di 660.000 rubli, circa 8.000 dollari, in conti da loro controllati.
L’operazione si basava su siti web di phishing che si spacciavano per servizi finanziari e contabili, insieme a server ospitati fuori dalla Russia. Le autorità hanno riferito che i sospetti hanno anche ottenuto strumenti di amministrazione remota da mercati sotterranei per mantenere l’accesso a computer compromessi.
La polizia ha perquisito abitazioni e uffici associati ai sospetti, confiscando computer, dispositivi di comunicazione e altre potenziali prove. Secondo i media russi, il sospetto leader è stato posto agli arresti domiciliari, mentre due presunti complici sono stati rilasciati con restrizioni di viaggio.
I ricercatori di cybersecurity hanno documentato separatamente un’espansione delle operazioni di VasyGrek. Kaspersky ha riferito di aver rilevato più di 100 tentativi di attacchi attribuiti al gruppo tra gennaio e settembre 2026, che hanno preso di mira organizzazioni in Russia, Bielorussia e Kazakistan.
Le campagne si concentrarono principalmente su imprese metallurghe, fornitori industriali e agenzie governative. Anche aziende operanti nei settori sanitario, agricolo, finanziario, energetico e petrolifero e del gas erano tra gli obiettivi.
I ricercatori hanno scoperto che VasyGrek utilizzava allegati dannosi mascherati da documenti finanziari per distribuire malware che rubano informazioni e trojan di accesso remoto. Il suo toolkit riportato includeva MetaStealer, PureCrypter, WarZone RAT e altri programmi dannosi commercialmente disponibili.
Alcune campagne hanno anche implementato una backdoor basata su Golang in grado di eseguire comandi su dispositivi infetti. Kaspersky ha dichiarato che gli attaccanti hanno utilizzato metodi di infezione multistadio e servizi online legittimi per ospitare componenti dannosi, rendendo la loro attività più difficile da rilevare e indagare.
I tre sospetti sono accusati di furto finanziario e sviluppo o distribuzione di malware. Secondo un reportage di Recorded Future News, l’accusa di furto comporta una pena detentiva fino a dieci anni, mentre quella legata al malware può comportare fino a cinque anni.
Le autorità russe affermano che l’infrastruttura del gruppo è stata compromessa, ma resta incerto se altri membri di VasyGrek siano ancora attivi o se gli arresti abbiano definitivamente interrotto le sue operazioni.