Aparat penegak hukum Rusia sukses meringkus tiga orang yang diduga kuat sebagai anggota sindikat ancaman siber VasyGrek, sekaligus melumpuhkan seluruh infrastruktur kejahatan milik kelompok tersebut.
Dikenal luas dengan identitas Fluffy Wolf, kelompok penyerang siber ini tercatat memiliki rekam jejak panjang dalam membidik berbagai korporasi di Rusia maupun ranah internasional sejak tahun 2016 silam.
Kementerian Dalam Negeri Federasi Rusia (MVD) mengungkapkan bahwa para anggota komplotan ini "diduga melakukan penggelapan dana secara ilegal dari rekening milik organisasi, serta merancang, menyebarkan, dan mengoperasikan perangkat lunak perusak."
Dalam insiden yang terjadi pada bulan September 2025 dan diungkap oleh kementerian, pelaku melancarkan email phising ke target perusahaan tanpa nama dengan menyamar sebagai surat korespondensi resmi, lalu meminta korban membuka laporan rekonsiliasi yang langsung memicu jalannya program malware berbahaya.
Aksi pembobolan tersebut mengakibatkan kerugian finansial senilai 660.000 rubel atau setara 8.000 dolar AS dari rekening bank perusahaan, di mana sindikat penjahat siber ini langsung memindahkan dana hasil curian ke sejumlah rekening penampung yang telah mereka kendalikan secara penuh.
"Rangkaian penyerangan siber ini memanfaatkan jaringan domain phising berskala luas yang menduplikasi portal web layanan akuntansi dan keuangan, disertai dukungan peladen virtual di luar negeri," tutur MVD. "Piranti kendali jarak jauh tersembunyi tersebut didapatkan langsung dari situs web gelap."
Tindakan penegakan hukum yang tergolong langka ini melibatkan penggeledahan menyeluruh di kediaman para pelaku serta kantor operasional yang mereka manfaatkan. Petugas turut menyita berbagai perangkat komputer, alat komunikasi, dan barang bukti penting lainnya di lokasi kejadian.
Menurut analisis intelijen dari firma keamanan siber Rusia, BI.ZONE dan F6, VasyGrek dikategorikan sebagai kelompok ancaman dengan motif finansial murni yang memperoleh akses masuk awal lewat pengiriman surel pancingan berisi lampiran dokumen keuangan palsu.
Gudang senjata siber mereka diperkuat aneka peranti pencuri data serta trojan komersial siap pakai, mencakup MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, XMRig, BurnsRAT, PureHVNC, PureRAT, Pay2Key, dan PowerLoader, hingga aplikasi akses jarak jauh legal semacam Remote Utilities.
Laporan berkala yang dirilis oleh Kaspersky pada pekan ini mencatat kemunculan lebih dari seratus upaya peretasan yang didalangi VasyGrek terhadap institusi di Rusia, Belarusia, dan Kazakhstan sepanjang periode Januari sampai September 2026. Operasi siber ini kedapatan memanfaatkan dokumen umpan guna menyusupkan pintu belakang berbasis Golang yang sanggup mengeksekusi instruksi sewenang-wenang pada sistem terinfeksi.
Gelombang serangan ini memprioritaskan korporasi di sektor pengolahan logam, mitra penyedia bahan baku dan pasokan industri besar, hingga lembaga pemerintahan resmi. Korban lain yang ikut menjadi sasaran meliputi entitas layanan kesehatan, industri perminyakan dan gas, energi terpadu, finansial perbankan, serta sektor pertanian.
"Kelompok ini telah memperluas wilayah serangannya: bila sebelumnya target utama terbatas pada korporasi Rusia, tahun ini entitas bisnis dari Belarusia dan Kazakhstan turut menjadi target incaran," ungkap Nikita Nazarov selaku pimpinan riset ancaman tingkat lanjut di Kaspersky.
"Para pelaku kejahatan menerapkan mekanisme infeksi berlapis dan memanfaatkan infrastruktur layanan digital legal untuk menyimpan modul berbahaya, sebuah taktik jitu guna menyamarkan jejak serta menghambat penyelidikan forensik serangan."
Pengungkapan kasus ini bertepatan dengan temuan BI.ZONE mengenai serbuan siber bertubi-tubi yang menyasar instansi-instansi Rusia menggunakan varian keluarga trojan seperti LxBase RAT, CoreRAT, hingga NightStrike RAT.
Jika LxBase RAT merupakan trojan berbayar bertarif 119 dolar per bulan yang disebarkan via kampanye surat massal, rantai penyusupan CoreRAT mengandalkan surel pancingan bermuatan dropper 7zSFX dan bahasa pemrograman Rust. Aktivitas ini dikaitkan erat dengan kelompok Core Werewolf, yang disinyalir saling terhubung dengan entitas Vortex Werewolf.
Sementara itu, penyebaran malware NightStrike RAT dihubungkan dengan kelompok mantan peretas aktivis yang bertransformasi menjadi spionase siber bernama Insolent Werewolf. Titik akses permulaan diamankan lewat taktik serang ClickFix demi menanamkan peranti NetSupport Manager untuk kendali jarak jauh.
"Kelompok Insolent Werewolf juga mengandalkan Octowave Loader guna menyusupkan implan kerangka kerja pasca-eksploitasi AdaptixC2 dan Havoc ke komputer target," terang BI.ZONE, sembari menambahkan bahwa gudang senjata mereka mencakup trojan remote access lain seperti CapDoor dan NightWire.
"Sebagai RAT yang dirancang dengan bahasa pemrograman C++, NightStrike diduga kuat dikembangkan oleh pembuat NightWire berdasarkan kemiripan gaya penulisan kode. Pemanfaatan kerangka kerja beragam serta piranti lunak kustom buatan sendiri memberi keleluasaan bagi musuh untuk menyesuaikan instrumen penyerangan sesuai kondisi spesifik dan menekan potensi deteksi keamanan."