As autoridades russas detiveram três suspeitos de membros do VasyGrek, um grupo cibercriminoso também conhecido como Fluffy Wolf, após uma investigação sobre ataques de malware e roubo financeiro. A polícia afirma que desmontou a infraestrutura do grupo e apreendeu equipamentos eletrônicos usados em suas operações.
Segundo o Ministério do Interior da Rússia, os suspeitos supostamente miraram empresas por meio de campanhas de phishing destinadas a roubar dinheiro de contas bancárias corporativas. As atividades do grupo remontam pelo menos a 2016, com a maioria de suas vítimas conhecidas localizada na Rússia.
Um dos incidentes descritos pelos investigadores ocorreu em setembro de 2025, quando um funcionário de uma empresa não identificada recebeu um e-mail disfarçado de correspondência comercial rotineira. O anexo parecia conter um documento de conciliação financeira, mas executou software malicioso ao ser aberto.
Investigadores alegam que os atacantes posteriormente obtiveram acesso remoto ao computador do funcionário e ao sistema de banco online da empresa. Eles transferiram mais de 660.000 rublos, aproximadamente $8.000, para contas que controlavam.
A operação dependia de sites de phishing que se passavam por serviços financeiros e contábeis, além de servidores hospedados fora da Rússia. As autoridades disseram que os suspeitos também obtiveram ferramentas de administração remota de marketplaces clandestinos para manter o acesso a computadores comprometidos.
A polícia revistou residências e escritórios associados aos suspeitos, confiscando computadores, dispositivos de comunicação e outras possíveis evidências. Segundo reportagens da mídia russa, o suposto líder foi colocado em prisão domiciliar, enquanto dois supostos cúmplices foram liberados sob restrições de viagem.
Pesquisadores de cibersegurança documentaram separadamente uma expansão das operações da VasyGrek. A Kaspersky relatou ter detectado mais de 100 tentativas de ataques atribuídas ao grupo entre janeiro e setembro de 2026, tendo como alvo organizações na Rússia, Bielorrússia e Cazaquistão.
As campanhas focaram principalmente em empresas metalúrgicas, fornecedores industriais e agências governamentais. Empresas que atuam nos setores da saúde, agricultura, finanças, energia e indústria de petróleo e gás também estavam entre os alvos.
Pesquisadores descobriram que o VasyGrek usava anexos maliciosos disfarçados de documentos financeiros para distribuir malware que rouba informações e trojans de acesso remoto. Seu kit de ferramentas relatado incluía MetaStealer, PureCrypter, WarZone RAT e outros programas maliciosos comercialmente disponíveis.
Algumas campanhas também implantaram um backdoor baseado em Golang capaz de executar comandos em dispositivos infectados. A Kaspersky disse que os atacantes usaram métodos de infecção em múltiplos estágios e serviços online legítimos para hospedar componentes maliciosos, tornando suas atividades mais difíceis de detectar e investigar.
Os três suspeitos enfrentam acusações envolvendo roubo financeiro e desenvolvimento ou distribuição de malware. Segundo reportagem do Recorded Future News, a acusação de furto pode levar a uma pena de prisão de até dez anos, enquanto a acusação relacionada a malware pode levar até cinco anos.
As autoridades russas dizem que a infraestrutura do grupo foi prejudicada, mas ainda não está claro se outros membros do VasyGrek ainda estão ativos ou se as prisões encerraram permanentemente suas operações.