De Russische autoriteiten hebben drie vermoedelijke leden van VasyGrek, een cybercriminele groep die ook bekendstaat als Fluffy Wolf, aangehouden na een onderzoek naar malware-aanvallen en financiële diefstal. De politie zegt dat ze de infrastructuur van de groep hebben ontmanteld en elektronische apparatuur die bij de operaties wordt gebruikt, in beslag hebben genomen.
Volgens het Russische ministerie van Binnenlandse Zaken zouden de verdachten bedrijven hebben aangepakt via phishingcampagnes die bedoeld waren om geld van zakelijke bankrekeningen te stelen. De activiteiten van de groep zouden teruggaan tot minstens 2016, waarbij de meeste bekende slachtoffers zich in Rusland bevinden.
Een van de door onderzoekers beschreven incidenten vond plaats in september 2025, toen een medewerker van een niet-geïdentificeerd bedrijf een e-mail ontving die was vermomd als routinematige zakelijke correspondentie. De bijlage leek een financieel afstemmingsdocument te bevatten, maar voerde bij het openen kwaadaardige software uit.
Onderzoekers beweren dat de aanvallers vervolgens op afstand toegang kregen tot de computer van de werknemer en het online banksysteem van het bedrijf. Ze maakten meer dan 660.000 roebel, ongeveer $8.000, over op rekeningen die zij beheerden.
De operatie was gebaseerd op phishingwebsites die zich voordeden als financiële en boekhoudkundige diensten, samen met servers die buiten Rusland werden gehost. Autoriteiten zeiden dat de verdachten ook externe beheertools van ondergrondse marktplaatsen verkregen om toegang te behouden tot gecompromitteerde computers.
De politie doorzocht woon- en kantoorpanden die met de verdachten geassocieerd werden en confisqueerde computers, communicatiemiddelen en ander potentieel bewijsmateriaal. Volgens Russische mediaberichten werd de vermoedelijke leider onder huisarrest geplaatst, terwijl twee vermeende medeplichtigen onder reisbeperkingen werden vrijgelaten.
Cybersecurityonderzoekers hebben afzonderlijk een uitbreiding van de activiteiten van VasyGrek gedocumenteerd. Kaspersky meldde tussen januari en september 2026 meer dan 100 pogingen tot aanvallen die aan de groep werden toegeschreven, gericht op organisaties in Rusland, Wit-Rusland en Kazachstan.
De campagnes richtten zich voornamelijk op metallurgische bedrijven, industriële leveranciers en overheidsinstanties. Ook bedrijven actief in de gezondheidszorg, landbouw, financiën, energie en de olie- en gasindustrie behoorden tot de doelwitten.
Onderzoekers ontdekten dat VasyGrek kwaadaardige bijlagen gebruikte die vermomd waren als financiële documenten om informatie-diefstal malware en trojans voor externe toegang te verspreiden. De gerapporteerde toolkit omvatte MetaStealer, PureCrypter, WarZone RAT en andere commercieel verkrijgbare kwaadaardige programma’s.
Sommige campagnes hebben ook een Golang-gebaseerde achterdeur geïnstalleerd die commando’s kan uitvoeren op geïnfecteerde apparaten. Kaspersky zei dat de aanvallers meerfasige infectiemethoden en legitieme online diensten gebruikten om kwaadaardige componenten te hosten, waardoor hun activiteiten moeilijker te detecteren en te onderzoeken waren.
De drie verdachten worden beschuldigd van financiële diefstal en de ontwikkeling of verspreiding van malware. Volgens berichten van Recorded Future News kan de diefstal een gevangenisstraf van maximaal tien jaar opleveren, terwijl de aanklacht met betrekking tot vijf jaar kan opleveren.
De Russische autoriteiten zeggen dat de infrastructuur van de groep is verstoord, maar het blijft onduidelijk of andere leden van VasyGrek nog actief zijn of dat de arrestaties definitief een einde hebben gemaakt aan de operaties.