Злоумышленники расширили географию атак и стали использовать новые инструменты для заражения корпоративных устройств
За первые три квартала 2026 года эксперты «Лаборатории Касперского» зафиксировали свыше 100 попыток атак группы VasyGrek, также известной как Fluffy Wolf, на организации в России, Беларуси и Казахстане. Чаще всего злоумышленники атаковали предприятия металлургической промышленности, компании, занимающиеся оптовыми поставками сырья и промышленных материалов, а также государственные учреждения. Среди целей также встречались организации сферы здравоохранения, нефтегазовой, энергетической, финансовой и агропромышленной отраслей.
В ходе анализа активности группы в «Лаборатории Касперского» изучили используемые ею инструменты и способы заражения корпоративных устройств. В частности, удалось выявить ранее не описанный сценарий атаки, в котором злоумышленники использовали фишинговые письма для установки бэкдора.
Как была устроена атака. В ходе мониторинга угроз эксперты «Лаборатории Касперского» обнаружили ранее неизвестную атаку VasyGrek. Злоумышленники рассылали потенциальным жертвам фишинговые письма со ссылками на архивы, замаскированные под бухгалтерские документы. Внутри находились вредоносные установочные файлы. При их запуске открывался файл-приманка, создававший видимость работы с обычным документом. Одновременно запускался легитимный процесс, в который загружался бэкдор, написанный на языке Golang. Он позволял злоумышленникам удалённо выполнять команды на заражённом устройстве.
Чтобы затруднить анализ вредоносной программы, злоумышленники использовали специальные инструменты, скрывающие её код. Однако экспертам удалось установить, что бэкдор связывался с командными серверами, через которые атакующие передавали команды и получали результаты их выполнения.
Какие ещё способы заражения использовала группа. Помимо описанной атаки, эксперты «Лаборатории Касперского» отмечают и другие сценарии распространения вредоносного ПО, которые применяла VasyGrek. В частности, злоумышленники использовали многоступенчатые цепочки заражения с дропперами — программами для установки других вредоносных компонентов.
В одном из сценариев заражения вредоносный скрипт загружал дополнительные компоненты с легитимных интернет-сервисов. Также злоумышленники использовали дропперы на Rust для установки бэкдора PureRAT, который закреплялся в системе и позволял удалённо управлять заражённым устройством, в том числе получать доступ к конфиденциальной информации.
В 2025-2026 годах арсенал группы также пополнился загрузчиком PowerLoader, использующим методы обхода защитных решений, и шифровальщиком Pay2Key. Кроме того, возможности PureRAT были расширены с помощью плагина PluginRemoteDesktop, позволяющего удалённо управлять рабочим столом заражённого устройства.
«В 2026 году мы наблюдали изменения в деятельности VasyGrek. Группировка расширила географию атак: если раньше её основной целью были российские организации, то в этом году среди потенциальных жертв оказались также компании из Беларуси и Казахстана. При этом злоумышленники продолжали использовать привычные методы социальной инженерии — рассылали фишинговые письма под видом деловой переписки, например на тему бухгалтерии или актов сверки. Однако техническая сторона атак стала сложнее. Злоумышленники применяли многоступенчатые схемы заражения и легитимные интернет-сервисы для размещения вредоносных компонентов, что помогало скрывать их активность и затрудняло анализ атак. Этот пример показывает, что даже при использовании сложных технических инструментов отправной точкой атаки может оставаться обычное письмо, которое сотрудник воспринимает как часть повседневной работы», — говорит Никита Назаров, руководитель отдела расширенного исследования угроз в «Лаборатории Касперского».
Решения «Лаборатории Касперского» успешно обнаруживают все описанные выше вредоносные образцы, такие как Backdoor.MSIL.Agent.sb, Trojan.Win32.Shellcode.sb, Trojan-Downloader.Agent.HTTP.C&C, Trojan.JS.SAgent.sb и HEUR:Trojan-Ransom.Win32.
Чтобы защититься от такого вредоносного ПО, эксперты по кибербезопасности рекомендуют:
● не переходить по ссылкам и не открывать почтовые вложения с исполняемыми расширениями, полученные от незнакомых адресатов;
● использовать решение для защиты конечных устройств, такое как Kaspersky EDR Expert, для непрерывного мониторинга процессов, сетевых соединений и изменений в реестре на рабочих станциях и серверах, чтобы своевременно выявлять аномальную активность на ранних стадиях атаки;
● настроить автоматическую отправку подозрительных объектов (файлов, скриптов) в изолированную среду -— Advanced Sandbox (Песочницу), например такая возможность естьв платформе Kaspersky Anti Targeted Attack;
● отслеживать актуальный ландшафт угроз, например с помощью сервисов Kaspersky Threat Intelligence, для построения стратегии защиты.
