Rus Polisi, VasyGrek Hacker Grubunun 3 Üyesini Tutukladı ve Suç Altyapısını Çökertti

Rus Polisi, VasyGrek Hacker Grubunun 3 Üyesini Tutukladı ve Suç Altyapısını Çökertti

Rus yetkililer, VasyGrek olarak bilinen tehdit grubunun üç şüpheli üyesini tutukladı ve suç altyapısını çökertti. Fluffy Wolf adıyla da bilinen bu tehdit grubu, 2016’dan beri Rus ve uluslararası şirketleri hedef alıyor.

Rusya Federasyonu İçişleri Bakanlığı (MVD), zanlıların suçlamalarını açıkladı. Bakanlık, şüphelilerin “kuruluşların hesaplarından fon zimmetine geçirmekle, ayrıca kötü amaçlı yazılım oluşturmak, dağıtmak ve kullanmakla” suçlandığını bildirdi.

Bakanlık, Eylül 2025’te yaşanan bir olayı örnek gösterdi. Saldırganlar, ismi açıklanmayan bir kuruluşa iş yazışması gibi görünen bir kimlik avı e-postası gönderdi. Alıcılardan bir mutabakat raporunu açmalarını istedi. Rapor, kötü amaçlı yazılımı tetikledi.

Saldırganlar, kuruluşun banka hesabından 660.000 ruble (8.000 dolar) çaldı ve bu parayı kendi kontrollerindeki hesaplara aktardı.

MVD konuyla ilgili şu açıklamayı yaptı: “Saldırılarda, finans ve muhasebe hizmeti web sitelerini taklit eden geniş bir kimlik avı alanı ağı ve yabancı ülkelerde bulunan sanal sunucular kullanıldı. Gizli uzaktan yönetim araçları karanlık ağdan temin edildi.”

Yetkililer, bu nadir operasyonda şüphelilerin evlerinde ve işlettikleri ofislerde arama yaptı. Polis ekipleri bilgisayar ekipmanlarına, iletişim cihazlarına ve diğer delil niteliğindeki eşyalara el koydu.

VasyGrek Grubunun Saldırı Yöntemleri ve Hedefleri

Rus siber güvenlik şirketleri BI.ZONE ve F6’nın raporlarına göre VasyGrek, finansal motivasyonla hareket ediyor. Grup, sistemlere ilk erişimi finansal belge süsü verilmiş ekler içeren kimlik avı e-postalarıyla sağlıyor.

Grup geniş bir araç cephaneliği kullanıyor. Bu araçlar arasında MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key ve PowerLoader gibi hazır bilgi hırsızları ile Truva atları yer alıyor. Saldırganlar ayrıca Remote Utilities gibi yasal uzaktan erişim yazılımlarından da yararlanıyor.

Kaspersky, bu hafta yayımladığı raporda önemli veriler paylaştı. Şirket, Ocak ve Eylül 2026 arasında VasyGrek’in Rusya, Belarus ve Kazakistan’daki kuruluşlara yönelik 100’den fazla saldırı girişimini kaydetti. Grup bu saldırılarda, hedef cihazda rastgele komutlar çalıştıran bir Golang arka kapısı bırakmak için yem belgeler kullandı.

Saldırılar öncelikle metalurji sektörünü, hammadde ve endüstriyel malzeme toptancılarını ve devlet kurumlarını hedef aldı. Hedef alınan diğer sektörler arasında sağlık, petrol ve gaz, enerji, finans ve tarım da bulunuyor.

Kaspersky’nin gelişmiş tehdit araştırmaları başkanı Nikita Nazarov durumu şöyle değerlendirdi: “Grup saldırı coğrafyasını genişletti: daha önce birincil hedefi Rus kuruluşları iken, bu yıl potansiyel kurbanlar arasında Belarus ve Kazakistan’dan şirketler de vardı.”

Nazarov ayrıca şunları ekledi: “Saldırganlar, kötü amaçlı bileşenleri barındırmak için çok aşamalı enfeksiyon şemaları ve yasal çevrimiçi hizmetler kullandı, bu da faaliyetlerini gizlemeye ve saldırı analizini engellemeye yardımcı oldu.”

Diğer Siber Tehditler ve Gruplar

Bu gelişmeler yaşanırken BI.ZONE da yeni tespitler paylaştı. Şirket, Rus kuruluşlarını hedef alan LxBase RAT, CoreRAT ve NightStrike RAT gibi kötü amaçlı yazılımlarla düzenlenen çok sayıda saldırı belirledi.

Aylık 119 dolara satılan ticari bir Truva atı olan LxBase RAT, toplu kimlik avı kampanyalarıyla yayılıyor. CoreRAT enfeksiyon zincirleri ise zararlı yazılımı bulaştırmak için 7zSFX ve Rust droppers içeren kimlik avı e-postalarını kullanıyor. Uzmanlar bu faaliyetleri, Vortex Werewolf grubuyla bağlantılı gördükleri Core Werewolf’a atfediyor.

NightStrike RAT dağıtan saldırıların arkasında ise Insolent Werewolf grubu bulunuyor. Bu grup, hacktivistlikten siber casusluğa geçiş yaptı. Grup, ilk erişimi sağlamak ve ardından NetSupport Manager’ı dağıtmak için ClickFix tarzı saldırılar düzenliyor.

BI.ZONE şu açıklamayı yaptı: “Insolent Werewolf ayrıca, tehlikeye atılmış sistemlerde AdaptixC2 ve Havoc sömürü sonrası çerçeve implantlarını dağıtmak için Octowave Loader’ı kullanıyor.”

Şirket, grubun elinde CapDoor ve NightWire gibi başka uzaktan erişim Truva atlarının da olduğunu belirtti: “C++ ile yazılmış bir RAT olan NightStrike’ın, kodlama stilindeki benzerliklere dayanarak NightWire’ın geliştiricisi tarafından oluşturulduğu varsayılıyor. Çeşitli çerçeveler ve kendi özel kötü amaçlı yazılımlarını kullanmak, düşmanın araçları belirli saldırı koşullarına göre uyarlamasını ve tespit olasılığını azaltmasını sağlıyor.”