Rus Polisi 3 Şüpheli VasyGrek Saldırganını Gözaltına Aldı, Suç Ağını Çözdü

Rus yetkili makamları, VasyGrek adlı tehdit grubunun üç şüpheli üyesini tutukladı ve suç örgütünün altyapısını çökertti.

2016’dan beri Rus ve uluslararası şirketleri hedef alan, Fluffy Wolf olarak da bilinen tehdit aktörü, grubun üyelerinin “kurumların hesaplarından fon avutmakla yanı sıra kötü amaçlı yazılım üretmek, dağıtmak ve kullanmakla şüphelendiği” bilgisini verdi.

Rusya İçişleri Bakanlığı (MVD), grubun üyelerinin “kurumların hesaplarından fon avutmakla birlikte kötü amaçlı yazılım üretmek, dağıtmak ve kullanmakla şüphelendiğini” açıkladı.

Bakanlığın örnekle ettiği 2025 Eylül ayına ait bir olayda, saldırganların belirsiz bir kuruma ticari yazışma gibi görünen bir oltalama e-postası gönderdiği ve alıcıları, kötü amaçlı yazılımin çalıştırılmasına yol açan bir muhasebe uzlaşım raporu açmaya yönlendirdiği belirtildi.

Olay, kurumun banka hesabından 660.000 ruble (8.000 dolar) kayba yol açarken, saldırganlar fonları kendi kontrolündeki hesaplara aktardı.

“Saldırılar, finansal ve muhasebe hizmet sitelerini taklit eden geniş bir oltalama alan adı ağı ile yabancı ülkelerde bulunan sanal sunucuları kullandı. Gizli uzaktan yönetim araçları karanlık ağdan temin edildi.” dedi MVD.

Nadir görülen bu kolluk faaliyeti, Rus yetkili makamlarının şüphelilerin konutlarında ve operasyonları yürüttükleri ofis alanlarında aramalar yapmasıyla sonuçlandı. Aynı zamanda bilgisayar ekipmanları, iletişim cihazları ve delil değeri taşıyan diğer eşyaların ele geçirilmesine yol açtı.

Rus siber güvenlik şirketi BI.ZONE ve F6’nın raporlarına göre, VasyGrek’in finansal kazanç motiveli bir tehdit aktörü olduğu ve ekleri finansal belgeler gibi görünen oltalama e-postaları göndererek ilk erişimi sağladığı değerlendiriliyor.

Silah arşivindeki temel araçlardan bazıları, MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key ve PowerLoader gibi hazır hırsızlık ve truva atları yazılımları ile Remote Utilities gibi meşru uzaktan erişim yazılımlarıdır.

Bu hafta yayımlanan bir raporda Kaspersky, Ocak-Eylül 2026 arasında Rusya, Belarus ve Kazakistan’daki kuruluşlara yönelik VasyGrek’in organize ettiği 100’ü aşan saldırı girişimini kaydettiğini belirtti. Bu saldırılar, enfekte cihazda keyfi komutları çalıştırabilen bir Golang arka kapısını indirmek için sahte belgeler kullanmasıyla da gözlemlendi.

Saldırılar öncelikli olarak metalurji sektöründeki kurumların yanı sıra ham madde ve endüstriyel tedarik toptancıları ile devlet kurumlarını hedef aldı. Diğer hedefler arasında sağlık, petrol-gaz, enerji, finans ve tarım sektörlerinde faaliyet gösteren kuruluşlar yer aldı.

“Grup saldırı coğrafyasını genişletti: daha önce birincil hedefi Rus kuruluşlarken, bu yıl olası mağdurlar arasında Belarus ve Kazakistan menşeli şirketler de bulundu,” Kaspersky’in gelişmiş tehdit araştırmalarından sorumlu başlığı Nikita Nazarov söyledi.

“Saldırganlar çok aşamalı bulaşma şemaları ve kötü amaçlı bileşenleri barındırmak için meşru çevrimiçi hizmetleri kullanarak faaliyetlerini gizlediler ve saldırı analizini zorlaştırdılar.”

Bu gelişme, BI.ZONE’un Rus kuruluşlara yönelik LxBase RAT, CoreRAT ve NightStrike RAT gibi kötü amaçlı yazılım ailelerini kullanan birden fazla saldırıyı tespit etmesiyle ortaya çıkıyor.

Ticari bir truja olan ve ayda 119 dolar karşılığında dağıtılan LxBase RAT, kitlesel oltalama kampanyaları yoluyla yayılırken, CoreRAT bulaşma zincirleri teslimat için 7zSFX ve Rust dropper içeren oltalama e-postalarını kullanıyor. Faaliyetler, Vortex Werewolf ile belirli bir düzeyde örtüşme payına sahip olduğu değerlendirilen Core Werewolf’a izleniyor.

NightStrike RAT kullanan saldırılar, “Insolent Werewolf” adını verdiği oltalamadan siber casusluğa dönüşen bir küme ile ilişkilendiriliyor. İlk erişim, uzak erişim sağlamak için NetSupport Manager’ı devreye sokmak için ClickFix-usulü saldırılar kullanılarak sağlanıyor.

“Insolent Werewolf, AdaptixC2 ve Havoc post-exploitation framework implantlarını devreye sokmak için Octowave Loader’ı da kullanıyor,” diyen BI.ZONE, grubun kötü amaçlı yazılım arsenalinin CapDoor ve NightWire gibi diğer uzak erişim trujanlarını da içerdiğini ekledi.

“C++ ile yazılmış bir RAT olan NightStrike’ın, kodlama biçimindeki benzerliklere dayanarak NightWire’ın geliştiricisi tarafından oluşturulmuş olması muhtemeldir. Çeşitli framework’leri ve kendi özel zararlı yazılımlarını kullanan saldırgan, araçları belirli saldırı koşullarına göre uyarlayabilir ve tespit edilme olasılığını azaltabilir.”