Russische autoriteiten hebben drie vermoedelijke leden van de dreigingsgroep VasyGrek aangehouden. Volgens de Russische ministeries is het VasyGrek hacknetwerk onderdeel geweest van een bredere criminele aanpak: aanvallen via phishing, het inzetten van schadelijke software en het misbruiken van infrastructuur om geldstromen weg te sluizen.
De actie markeert een zeldzaam moment waarop wetshandhaving in eigen land actief lijkt in te grijpen in een technisch gedreven malwarecampagne. Tegelijk is het voor organisaties een duidelijke wake-up call: de gebruikte methoden zijn niet ‘uitzonderlijk’, maar precies de technieken die in veel incidentrapporten terugkomen.
Wie is VasyGrek (ook bekend als Fluffy Wolf)?
De groep wordt in het nieuws genoemd onder de naam VasyGrek, met als alternatieve benaming Fluffy Wolf. Er wordt beschreven dat de actor sinds 2016 doelwitten benadert, zowel in Rusland als bij internationale organisaties.
Volgens verklaringen van de Russische overheid wordt de groep verdacht van het onttrekken van geld uit organisatie-accounts en van het maken, verspreiden en gebruiken van malware. Dat past in het bredere beeld dat meerdere veiligheidsbedrijven schetsen: financieel gemotiveerde aanvallen waarbij aanvallers proberen snel waarde te oogsten.
Arrestatie en ontmantelde infrastructuur
In het onderzoek zijn huiszoekingen uitgevoerd bij de verdachten thuis en op werkplekken die zouden zijn gebruikt om de activiteiten uit te voeren. Daarbij zou onder meer computerapparatuur, communicatiemiddelen en andere items met bewijskracht zijn meegenomen.
Ook wordt aangegeven dat autoriteiten delen van de criminal infrastructure hebben ontmanteld. Dat kan betekenen dat command-and-control routes, domeinen of ondersteunende systemen minder bereikbaar zijn geworden voor de aanvallers. Voor organisaties is dat relevant, maar het neemt niet weg dat vergelijkbare phishing- en malwaretechnieken vaak snel worden overgenomen door andere actoren.
Phishing als startpunt: “open het rapport”
Een belangrijk onderdeel van de werkwijze is phishing. In één van de door het ministerie van Binnenlandse Zaken aangehaalde incidenten (september 2025) zouden aanvallers een phishingmail hebben gestuurd naar een organisatie, vermomd als zakelijke correspondentie.
De mail bevatte een instructie om een reconciliatierapport te openen. Zodra ontvangers dit deden, zou malware zijn uitgevoerd op het systeem van het slachtoffer. Het incident leidde naar verluidt tot verliezen van 660.000 roebel (ruim 8.000 dollar), waarbij het geld zou zijn overgemaakt naar rekeningen die onder controle stonden van de aanvallers.
Phishingdomeinen en “legitieme” hosting om analyse te bemoeilijken
Volgens de Russische autoriteiten werd gebruikgemaakt van een breed netwerk van phishingdomeinen die financiële en boekhoudkundige websites imiteerden. Daarnaast zouden er virtuele servers zijn ingezet die in het buitenland stonden.
Ook wordt genoemd dat aanvallers hulpmiddelen voor stiekem remote administration zouden hebben verkregen via de dark web-markt. Het doel daarvan is doorgaans tweeledig: een beheerkanalen opbouwen voor verdere stappen en het verkleinen van de kans dat beveiligingsteams snel begrijpen wat er op de systemen gebeurt.
Welke malware en tooling duiken op?
Meerdere bronnen beschrijven een mix van kant-en-klare diefstalprogramma’s en remote access trojans (RAT’s), plus legitieme remote access tools. In het overzicht van de gebruikte families en tools komen onder andere namen voorbij zoals:
- MetaStealer
- PureCrypter en PureLogs Stealer
- WarZone RAT, BurnsRAT en PureRAT
- XMRig (gerelateerd aan cryptomining)
- Pay2Key en PowerLoader
- Remote Utilities als voorbeeld van legitieme remote access-software
De combinatie van RAT’s, stealers en loaders laat zien dat de aanvallers niet op één “payload” leunen. In plaats daarvan kunnen ze hun aanpak aanpassen aan het slachtoffer, de omgeving en wat ze hopen te vinden.
Kaspersky: meer dan 100 pogingen in 2026
In een rapport waar Kaspersky naar wordt genoemd, wordt gesteld dat tussen januari en september 2026 meer dan 100 aanvallen zijn waargenomen tegen organisaties in Rusland, Belarus en Kazachstan. Daarbij zou ook gebruik zijn gemaakt van decoy documents (lokdocumenten) om een volgende stap te laten vallen.
De decoy’s zouden een Golang backdoor plaatsen die in staat is om willekeurige commando’s uit te voeren op het geïnfecteerde apparaat. Zulke backdoors zijn vaak ontworpen om remote beheertaken mogelijk te maken, terwijl de aanvaller controle houdt over wanneer en hoe de volgende acties starten.
Doelwitten: metallurgie, overheid en meerdere sectoren
De aanvallen zouden vooral mikken op het metallurgische domein. Daarnaast komen ook aannemers en leveranciers van grondstoffen en industriële benodigdheden voorbij.
Andere genoemde doelgroepen zijn onder meer zorg, olie en gas, energie, financiën en landbouw, evenals overheidsinstanties. Dat brede speelveld past bij een financieel gemotiveerde aanpak: waar geld, betaalprocessen of kritieke data aanwezig zijn, ontstaat winstpotentieel.
Opvallend is dat de groep volgens de aangehaalde toelichting haar geografische bereik lijkt te hebben uitgebreid. Waar eerdere focus vaker Rusland betrof, zouden in 2026 ook bedrijven in Belarus en Kazachstan als potentiële slachtoffers zijn meegenomen.
Multi-stage infecties en legitieme services
Een extra patroon dat in meerdere beschrijvingen terugkomt, is het gebruik van multi-stage infection schemes. Dat betekent dat een aanval niet uit één stap bestaat, maar uit meerdere fases: initiële toegang, payload drop, uitvoering, en daarna pas verdere controle of dataverzameling.
Daarnaast wordt genoemd dat aanvallers legitieme online services inzetten om schadelijke componenten te hosten. Dat maakt het lastiger voor verdedigingsteams om alleen op “bekende malware” te sturen, omdat delen van het pad niet direct als verdacht gedrag hoeven op te vallen.
Overlap met andere clusters: Core Werewolf en Insolent Werewolf
BI.ZONE beschrijft daarnaast dat er aanvallen op Russische organisaties werden gedetecteerd met malwarefamilies zoals LxBase RAT, CoreRAT en NightStrike RAT. In de samenvattende beschrijvingen wordt LxBase RAT gelinkt aan massale phishingcampagnes en CoreRAT aan infectieketens met phishingmails die 7zSFX en Rust-droppers bevatten.
Ook wordt een verband gelegd met een cluster dat “Insolent Werewolf” wordt genoemd. Daarin speelt remote toegang via NetSupport Manager een rol, waarbij de start zou kunnen verlopen via ClickFix-achtige technieken. Vervolgens wordt gewezen op verdere post-exploitation componenten zoals AdaptixC2 en een Havoc-implantatie.
Daarnaast wordt vermeld dat NightStrike een RAT in C++ is en dat die vermoedelijk is gebouwd door de ontwikkelaar van NightWire, onder andere op basis van code-overeenkomsten. Voor defenders is dat relevant, omdat consistenties in tooling juist aanknopingspunten bieden voor detectie en hunting.
Wat betekent dit voor organisaties? (praktische aandachtspunten)
Ook al is er sprake van arrestaties, het VasyGrek hacknetwerk illustreert een aanpak die nog steeds breed toepasbaar is voor andere criminelen: phishing als initiator, decoy-documenten, meerdere malwarestappen en het gebruik van remote access om controle te behouden.
Concreet helpen deze acties vaak bij het verkleinen van de kans op succes:
- Versterk e-mailverdediging tegen phishing met aandacht voor bijlagen en instructies die gebruikers moeten aanzetten tot handelingen.
- Beperk rechten en houd systemen gesegmenteerd, zodat malware niet direct volledig kan doorwerken.
- Monitor remote access gedrag en detecteer afwijkingen rond tools voor beheer op endpoints.
- Integreer threat intelligence (bijv. families, TTP’s en domeinpatronen) in je detectieprocessen.
Als je wilt verdiepen hoe phishing en malware in de praktijk tot echt misbruik leiden, zijn deze gerelateerde artikelen nuttig: WordPress core kwetsbaarheid: actief misbruik en Exposure prioritization: 4 elementen met bewijs.
Conclusie: een doorbraak, maar geen einde aan de dreiging
De arrestatie van drie vermoedelijke VasyGrek-leden en het ontmantelen van delen van hun infrastructuur is een positief signaal voor cyberveiligheid. Tegelijk laat de beschreven werkwijze zien hoe rijk en modulair dit type campagne is: phishing, decoy documenten, meerdere payloads en remote access tools.
Voor organisaties is de beste stap om dergelijke patronen actief te herkennen in eigen omgeving: van e-mail tot endpoint gedrag. Zo verklein je de kans dat een “onschuldige” rapportmail of ogenschijnlijk zakelijke workflow uitloopt op malware-uitvoering en mogelijk financieel verlies.
Bron: https://thehackernews.com/2026/11/russian-police-arrest-3-suspected.html
