VasyGrek расширила географию атак и использует новые инструменты для заражения

Злоумышленники использовали фишинговые письма для установки бэкдора

В первом квартале 2026 года эксперты «Лаборатории Касперского» зафиксировали более 100 попыток атак группы VasyGrek, также известной как Fluffy Wolf. Атаки были направлены на организации в России, Беларуси и Казахстане. Основными целями стали предприятия металлургической промышленности, компании, занимающиеся оптовыми поставками сырья и промышленных материалов, а также государственные учреждения. В число целей также попали организации из сферы здравоохранения, нефтегазовой, энергетической, финансовой и агропромышленной отраслей. Эксперты выявили новый сценарий атаки, в котором злоумышленники использовали фишинговые письма для установки бэкдора. Злоумышленники рассылали потенциальным жертвам письма со ссылками на архивы, замаскированные под бухгалтерские документы. Внутри архивов находились вредоносные установочные файлы. При запуске такого файла открывался файл-приманка, имитирующий работу с обычным документом. Одновременно запускался легитимный процесс, в который загружался бэкдор, написанный на языке Golang. Этот бэкдор позволял злоумышленникам удалённо выполнять команды на заражённом устройстве. Для затруднения анализа вредоносной программы использовались специальные инструменты, скрывающие её код. Бэкдор связывался с командными серверами, через которые атакующие передавали команды и получали результаты их выполнения.

Группа применяла многоступенчатые цепочки заражения и новые вредоносные компоненты

Помимо описанного сценария, VasyGrek использовала и другие способы распространения вредоносного ПО. Злоумышленники применяли многоступенчатые цепочки заражения с использованием дропперов — программ, устанавливающих другие вредоносные компоненты. В одном из сценариев вредоносный скрипт загружал дополнительные компоненты с легитимных интернет-сервисов. Также использовались дропперы на Rust для установки бэкдора PureRAT. Этот бэкдор закреплялся в системе и позволял удалённо управлять заражённым устройством, включая доступ к конфиденциальной информации. В 2025-2026 годах арсенал группы пополнился загрузчиком PowerLoader, который использует методы обхода защитных решений, и шифровальщиком Pay2Key. Возможности PureRAT были расширены с помощью плагина PluginRemoteDesktop, который позволяет удалённо управлять рабочим столом заражённого устройства. Никита Назаров, руководитель отдела расширенного исследования угроз в «Лаборатории Касперского», отметил, что группировка расширила географию атак, включив в число потенциальных жертв компании из Беларуси и Казахстана. При этом злоумышленники продолжали использовать методы социальной инженерии, рассылая фишинговые письма под видом деловой переписки. Техническая сторона атак усложнилась: применялись многоступенчатые схемы заражения и легитимные интернет-сервисы для размещения вредоносных компонентов, что помогало скрывать активность и затрудняло анализ. Назаров подчеркнул, что отправной точкой атаки может оставаться обычное письмо, воспринимаемое сотрудником как часть повседневной работы.

Не переходить по ссылкам и использовать решения для защиты конечных устройств

Решения «Лаборатории Касперского» обнаруживают описанные вредоносные образцы, включая Backdoor.MSIL.Agent.sb, Trojan.Win32.Shellcode.sb, Trojan-Downloader.Agent.HTTP.C&C, Trojan.JS.SAgent.sb и HEUR:Trojan-Ransom.Win32. Для защиты от такого вредоносного ПО эксперты рекомендуют не переходить по ссылкам и не открывать почтовые вложения с исполняемыми расширениями, полученные от незнакомых адресатов. Рекомендуется использовать решения для защиты конечных устройств, такие как Kaspersky EDR Expert, для непрерывного мониторинга процессов, сетевых соединений и изменений в реестре. Это позволяет своевременно выявлять аномальную активность на ранних стадиях атаки. Также следует настроить автоматическую отправку подозрительных объектов в изолированную среду, например, в платформу Kaspersky Anti Targeted Attack. Важно отслеживать актуальный ландшафт угроз с помощью сервисов Kaspersky Threat Intelligence для построения эффективной стратегии защиты.