Arresti Shock VasyGrek: smantellata la rete phishing-malware che svuotava conti aziendali in Russia e all’estero

Le autorità russe hanno arrestato tre presunti membri del gruppo di cybercrime VasyGrek e hanno smantellato parte della sua infrastruttura criminale, un intervento raro che evidenzia la portata delle campagne di phishing e malware attribuite a questa minaccia. Il gruppo è noto anche con altri nomi operativi e risulta attivo da anni contro aziende russe e realtà internazionali, con un chiaro obiettivo di profitto economico.

Secondo le informazioni diffuse dalle forze dell’ordine, gli indagati sono sospettati di sottrarre denaro dai conti di organizzazioni e di creare, distribuire e utilizzare software malevolo. Un episodio descritto come esempio operativo riguarda una campagna di phishing in cui le vittime ricevevano una email costruita per sembrare corrispondenza aziendale. Il messaggio invitava ad aprire un allegato presentato come documento contabile o report di riconciliazione. Una volta aperto, il file avviava l’esecuzione del malware, consentendo agli attaccanti di operare sul sistema compromesso e di procedere con il furto di fondi. In quel caso le perdite sono state quantificate in circa 660.000 rubli, con trasferimenti verso conti controllati dagli aggressori.

Le indagini indicano che VasyGrek avrebbe utilizzato una rete estesa di domini di phishing progettati per imitare servizi finanziari e di contabilità, oltre a server virtuali ospitati all’estero. Per mantenere l’accesso e gestire le macchine infette, sarebbero stati impiegati strumenti di amministrazione remota occulta reperiti anche nel dark web, una pratica comune nelle operazioni di frode informatica e furto di credenziali.

Analisi di società di sicurezza collegano il gruppo a catene di infezione multi-fase basate su email con allegati camuffati da documenti finanziari. Nel tempo sono stati osservati diversi strumenti, tra cui stealer e trojan pronti all’uso, miner e RAT, insieme a software legittimi di accesso remoto sfruttati in modo improprio. In un periodo recente sono stati registrati oltre cento tentativi di attacco verso organizzazioni in Russia e in altri paesi dell’area, con l’uso di documenti esca capaci di installare backdoor in Golang ed eseguire comandi arbitrari.

I bersagli includono settore metallurgico, fornitori industriali e agenzie governative, ma anche sanità, energia, finanza, agricoltura e oil and gas, confermando una strategia opportunistica basata su phishing mirato e infrastrutture distribuite.