Аналитики компании F6 опубликовали результаты мониторинга активности русскоязычного злоумышленника VasyGrek за период с августа по ноябрь 2025 года. Согласно отчету, киберпреступник не только продолжил свои атаки, но и значительно модернизировал инструментарий и тактики проникновения в системы российских организаций.
Описание
VasyGrek, также известный под псевдонимом Fluffy Wolf, ведет противоправную деятельность с 2016 года. Его основная специализация - целевые фишинговые рассылки против российских компаний из различных отраслей экономики. После публикации предыдущего исследования F6 в июле 2024 года злоумышленник прекратил сотрудничество с поставщиком вредоносного ПО Mr.Burns, но продолжил атаки с использованием инструментов другого разработчика - PureCoder.
В течение рассматриваемого периода VasyGrek атаковал организации из промышленности, строительства, энергетики, сельского хозяйства, безопасности, торговли, финансов, информационных технологий, медиа и развлечений. Особенностью его подхода стало использование электронных адресов с доменами .ru и .su для имитации легитимной переписки от имени реальных российских компаний.
Аналитики отмечают эволюцию цепочек заражения. До ноября 2025 года злоумышленник использовал архивы с исполняемыми файлами, которые доставлялись через вложения в письмах или ссылки на репозитории GitHub. Однако в ноябре тактика изменилась - теперь в качестве вложений стали использоваться архивы с файлами BAT и VBS. Это демонстрирует адаптацию к мерам безопасности и поиск новых способов обхода защитных механизмов.
В арсенале VasyGrek сохранились инструменты PureCoder: PureCrypter (загрузчик), PureHVNC (удаленный доступ) и PureLogs Stealer (похититель данных). При этом в некоторых атаках дополнительно использовался шифровальщик Pay2Key, основанный на известном ransomware Mimic и распространяемый по модели RaaS (Ransomware as a Service).
Инфраструктура злоумышленника демонстрирует продуманный подход. VasyGrek продолжает регистрировать новые домены с определенными паттернами поведения, что позволило аналитикам F6 создать правила для выявления его сетевой инфраструктуры еще до начала активного использования. На этих доменах размещаются страницы, замаскированные под бухгалтерские услуги и ресурсы финансовых организаций.
Особый интерес представляет анализ новой цепочки атаки от 13 ноября 2025 года. В этой схеме используется файл VBS, который загружает изображение с скрытой полезной нагрузкой. Далее следует сложный процесс дешифровки и внедрения вредоносного кода в легитимные процессы, в частности, в RegAsm.exe. Конечной полезной нагрузкой в этой цепочке выступает PureHVNC, обеспечивающий злоумышленнику удаленный доступ к системе.
Примечательно, что использованный загрузчик ранее наблюдался в арсенале группы Sticky Werewolf, однако атрибуция к VasyGrek подтверждена на основе формата фишинговых писем, связей с доменами злоумышленника и характеристик конечной полезной нагрузки.
Эксперты F6 подчеркивают, что VasyGrek представляет собой устойчивую многолетнюю угрозу для российского бизнеса. Его способность адаптироваться к изменяющимся условиям и обновлять инструментарий требует от организаций повышенного внимания к вопросам кибербезопасности. Рекомендуется регулярное обучение сотрудников, внедрение современных средств обнаружения угроз и тщательный мониторинг сетевой активности.
Индикаторы компрометации
