Kaspersky: хакерская группа VasyGrek совершила свыше 100 попыток атак на организации Беларуси, России и Казахстана

За первые три квартала 2026 года эксперты Kaspersky зафиксировали свыше 100 попыток атак хакерской группы VasyGrek, известной также как Fluffy Wolf, на организации Беларуси, России и Казахстана.

Руководитель отдела расширенного исследования угроз в Kaspersky Никита Назаров заявил: «В 2026 году мы наблюдали изменения в деятельности VasyGrek. Группировка расширила географию атак: если раньше её основной целью были российские организации, то в этом году среди потенциальных жертв оказались также компании из Беларуси и Казахстана.»

В ходе анализа активности группы в Kaspersky выявили ранее не описанный сценарий: злоумышленники использовали фишинговые письма для установки бэкдора, то есть программы скрытого удалённого доступа.

Потенциальным жертвам приходили письма со ссылками на архивы, замаскированные под бухгалтерские документы. Внутри лежали вредоносные установочные файлы.

При запуске такого файла открывался файл-приманка, создававший видимость работы с обычным документом. Одновременно запускался легитимный процесс, в который загружался бэкдор, написанный на языке Golang. Бэкдор связывался с командными серверами: через них атакующие передавали команды и получали результаты их выполнения.

По данным экспертов Kaspersky, злоумышленники использовали многоступенчатые цепочки заражения с дропперами — программами для установки других вредоносных компонентов. В одном из сценариев вредоносный скрипт загружал дополнительные компоненты с легитимных интернет-сервисов.

Дропперы на Rust устанавливали бэкдор PureRAT. Он закреплялся в системе и позволял удалённо управлять заражённым устройством, в том числе получать доступ к конфиденциальной информации. Возможности PureRAT расширил плагин PluginRemoteDesktop, который даёт удалённое управление рабочим столом.

В 2025–2026 годах арсенал группы пополнился загрузчиком PowerLoader, использующим методы обхода защитных решений, и шифровальщиком Pay2Key.

Чаще всего, по данным Kaspersky, атаковали предприятия металлургической промышленности, компании, занимающиеся оптовыми поставками сырья и промышленных материалов, а также государственные учреждения. Среди целей встречались и организации здравоохранения, нефтегазовой, энергетической, финансовой и агропромышленной отраслей.

Какие именно белорусские организации оказались среди целей и были ли у них украдены данные, Kaspersky в приведённых сведениях не называет.

Назаров отметил, что злоумышленники продолжали использовать привычные методы социальной инженерии: «При этом злоумышленники продолжали использовать привычные методы социальной инженерии — рассылали фишинговые письма под видом деловой переписки, например на тему бухгалтерии или актов сверки.»

По его словам, техническая сторона атак стала сложнее: злоумышленники применяли многоступенчатые схемы заражения и легитимные интернет-сервисы для размещения вредоносных компонентов, что помогало скрывать их активность и затрудняло анализ атак.