Rússia prende trio do grupo hacker VasyGrek e bloqueia golpes

Cibersegurança

Autoridades russas desarticulam esquema de ataques virtuais que afetava empresas em vários países da região.

Leia também: Ataque com IA expõe dados de clientes da Chainalysis em 2026

A polícia russa prendeu nesta semana três suspeitos apontados como integrantes do grupo hacker VasyGrek, também conhecido como Fluffy Wolf, e afirma ter desmantelado a infraestrutura usada em ataques com phishing, malwares e roubo de fundos de empresas na Rússia, Belarus e Cazaquistão.

Operação mira desvio de fundos e softwares maliciosos

De acordo com o Ministério do Interior da Federação Russa (MVD), os detidos são acusados de comandar esquemas para invadir sistemas corporativos e desviar dinheiro de contas bancárias de organizações, usando ferramentas desenvolvidas e compradas no submundo digital. “Os suspeitos são suspeitos de desviar fundos das contas de organizações, além de criar, distribuir e usar softwares maliciosos”, informou o MVD em comunicado.

Em um dos casos detalhados pelas autoridades, um e-mail de phishing enviado a uma organização simulava uma correspondência comercial e pedia a abertura de um “relatório de conciliação”. Ao ser aberto, o arquivo executava um malware que permitiu aos criminosos transferir 660.000 rublos (cerca de 8.000 dólares) da conta da vítima para contas controladas pelo grupo.

A operação incluiu buscas nas residências e nos escritórios ligados aos suspeitos, com apreensão de computadores, dispositivos de comunicação e outros itens considerados provas. Com isso, investigadores afirmam ter derrubado uma rede de domínios falsos e servidores virtuais no exterior que sustentava a infraestrutura criminosa do VasyGrek.

Entenda o contexto

Relatórios de empresas de segurança cibernética como BI.ZONE, F6 e Kaspersky apontam o VasyGrek como um grupo motivado financeiramente, em atividade há anos, especializado em ataques contra empresas e órgãos públicos de setores estratégicos. Entre os alvos estão metalúrgicas, atacadistas de matérias-primas e suprimentos industriais, órgãos governamentais, além de organizações de saúde, petróleo e gás, energia, finanças e agricultura.

Levantamento recente da Kaspersky registrou mais de 100 tentativas de ataque atribuídas ao grupo contra organizações na Rússia, Belarus e Cazaquistão apenas entre janeiro e setembro deste ano. Os criminosos usavam documentos isca, com aparência de arquivos financeiros legítimos, para instalar backdoors escritos em Golang capazes de executar comandos à distância nas máquinas infectadas.

Nikita Nazarov, chefe de pesquisa de ameaças avançadas da Kaspersky, destaca a expansão regional do grupo. “O grupo expandiu sua geografia de ataques: enquanto anteriormente seu alvo principal eram organizações russas, neste ano, vítimas potenciais também incluíram empresas da Bielorrússia e do Cazaquistão”, afirmou.

Como agia o grupo VasyGrek

O ponto de partida dos ataques era quase sempre o phishing: e-mails cuidadosamente montados para imitar trocas de mensagens comerciais, com anexos que se passavam por notas fiscais, relatórios ou outros documentos financeiros. Ao abrir o arquivo ou seguir o link, a vítima acabava instalando o malware que dava controle remoto da máquina ao invasor.

O MVD informou que os criminosos operavam uma “ampla rede de domínios de phishing” que imitavam sites de serviços financeiros e contábeis, além de manterem servidores virtuais em outros países para hospedar partes da operação. As ferramentas para administração remota oculta eram compradas em mercados do dark web, o lado oculto da internet acessível apenas com softwares específicos.

No arsenal do VasyGrek, segundo as empresas de segurança, havia uma combinação de programas maliciosos prontos e softwares legítimos usados de forma abusiva. Entre os malwares citados estão stealers e trojans como MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key e PowerLoader. O grupo também recorria a softwares de acesso remoto legítimos, como o Remote Utilities, para manter presença discreta dentro das redes corporativas invadidas.

Nazarov explica que os criminosos apostavam em camadas de disfarce e na fragmentação da operação para se manterem invisíveis. “Os atacantes usaram esquemas de infecção em múltiplas etapas e serviços online legítimos para hospedar componentes maliciosos, o que ajudou a ocultar sua atividade e dificultar a análise dos ataques”, disse.

Outros grupos em atividade e sofisticação crescente

A mesma leva de relatórios que detalhou o VasyGrek também mostra que ele não é um caso isolado no cenário de ameaças da região. A BI.ZONE, por exemplo, identificou recentemente múltiplos ataques contra organizações russas usando famílias de malware como LxBase RAT, CoreRAT e NightStrike RAT, operadas por outros grupos.

O LxBase RAT, um trojan comercial vendido por 119 dólares por mês, é distribuído em campanhas massivas de phishing, o que barateia e acelera ataques em grande escala. Já as cadeias de infecção do CoreRAT utilizam e-mails com arquivos compactados em 7z auto-extraíveis e droppers desenvolvidos em Rust, em atividades atribuídas ao grupo Core Werewolf, que, segundo analistas, compartilha características com o Vortex Werewolf.

No caso do NightStrike RAT, os ataques foram ligados a um coletivo descrito como um grupo de hacktivismo transformado em cluster de espionagem digital, batizado de Insolent Werewolf. A primeira etapa explora técnicas conhecidas como ataques “ClickFix” para instalar o software de acesso remoto NetSupport Manager e, a partir daí, ganhar controle sobre o computador da vítima.

Relatório da BI.ZONE ressalta ainda que o Insolent Werewolf vale-se do carregador Octowave Loader para implantar a infraestrutura de comando e controle AdaptixC2 e o framework de pós-exploração Havoc em sistemas comprometidos. “Insolent Werewolf também utiliza Octowave Loader para implantar AdaptixC2 e framework de pós-exploração Havoc em sistemas comprometidos”, registra o documento, observando que o grupo também usa outros trojans de acesso remoto, como CapDoor e NightWire.

Segundo a empresa, o NightStrike, escrito em C++, “foi presumivelmente criado pelo desenvolvedor do NightWire, baseado em similaridades no estilo de codificação”, o que reforça a impressão de um ecossistema interligado de desenvolvedores oferecendo ferramentas sob medida para diferentes grupos.

Impacto da operação e próximos passos

A prisão dos três suspeitos do VasyGrek e a apreensão de equipamentos representam um golpe direto em uma das frentes mais ativas de ataques financeiros na região. Na prática, a ação interrompe ao menos temporariamente as operações do grupo, reduz o risco imediato para empresas que estavam na mira e abre espaço para que peritos em segurança analisem as ferramentas confiscadas e desenvolvam novas defesas.

Especialistas, porém, alertam que o vácuo deixado tende a ser rapidamente ocupado por outros grupos rivais ou dissidências, o que exige vigilância constante de equipes de segurança e investimentos permanentes em proteção digital e treinamento contra phishing. A perspectiva é de que os dados coletados em computadores e servidores do VasyGrek ajudem a rastrear cúmplices, mapear redes de lavagem de dinheiro e, possivelmente, chegar a novos alvos de operações policiais.

No campo corporativo, a ofensiva russa é vista como um sinal de maior disposição das autoridades em agir contra cibercriminosos que até então atuavam com relativa impunidade. Para setores críticos como energia, finanças, saúde e infraestrutura, a mensagem é clara: reforçar a segurança não é opcional, especialmente diante de campanhas de phishing cada vez mais convincentes e ferramentas maliciosas que se profissionalizam a cada ano.