Обычный «Акт сверки» из деловой переписки мог закончиться кражей денег со счета компании. МВД России пресекло деятельность группировки «Вася Грек», которая рассылала российским и зарубежным организациям вредоносные файлы под видом бухгалтерских документов. Предполагаемый организатор находится под домашним арестом, еще двое фигурантов получили подписку о невыезде.
В операции участвовали Бюро специальных технических мероприятий и Управление по борьбе с киберпреступностью МВД России, московская полиция и специалисты «Лаборатории Касперского». По версии следствия, участники группы похищали деньги со счетов организаций, распространяли вредоносные программы и создавали инфраструктуру для проведения атак.
МВД привело пример атаки сентября 2025 года. Сотруднику бухгалтерии одной из организаций пришло письмо, замаскированное под переписку с контрагентом. Вложение называлось «Акт сверки», но после запуска файла на компьютере активировалась вредоносная программа. Злоумышленники получили удаленный доступ к системе «Банк-Клиент» и перевели на подконтрольные счета более 660 тысяч рублей.
Группировка специализировалась на целевом фишинге, при котором письмо подстраивают под профессию и привычные рабочие задачи конкретного получателя. Для бухгалтерии особенно убедительной приманкой становятся счета, договоры, акты сверки и требования об оплате, поэтому вредоносное вложение может выглядеть как совершенно обычный документ от партнера.
Для рассылок «Вася Грек» использовал разветвленную сеть доменов, имитировавших финансовые и бухгалтерские сервисы, а серверную инфраструктуру размещал в том числе за пределами России. Средства скрытого удаленного управления компьютерами участники группы, по информации МВД, приобретали в даркнете.
Название «Вася Грек» давно встречается в исследованиях специалистов по кибербезопасности. F6 отслеживает активность под именем VasyGrek, также известным как Fluffy Wolf, и относит злоумышленников к финансово мотивированным киберпреступникам. По данным компании, атаки на российские организации ведутся как минимум с 2016 года, а одной из постоянных приманок остаются письма на бухгалтерскую тему.
Арсенал со временем менялся, но общая схема сохранялась. Вредоносные файлы приходили во вложениях или загружались по ссылкам с подконтрольных доменов и репозиториев GitHub. После заражения на компьютер могли попасть программы для удаленного управления и кражи данных. Среди инструментов исследователи обнаруживали PureHVNC, PureLogs Stealer и загрузчик PureCrypter, а в отдельных атаках также применялся шифровальщик Pay2Key.
Весной 2026 года специалисты BI.ZONE зафиксировали кампанию Fluffy Wolf против российских компаний из строительства, консалтинга, промышленности, инжиниринга, розничной торговли и электронной коммерции. Злоумышленники представлялись партнерами или подрядчиками и требовали погасить задолженность. В письмах находились RAR-архивы с вредоносными программами либо ссылки на GitHub, откуда загружались такие архивы.
Во время обысков по местам проживания фигурантов и в используемых офисах полиция изъяла компьютеры, средства связи и другие предметы, которые могут иметь доказательственное значение. МВД заявило о ликвидации инфраструктуры группировки и установлении личностей всех предполагаемых участников. Ведомство также указало, что активность «Васи Грека» была известна правоохранительным органам России, США и европейских стран.
Следственное управление УВД по Центральному административному округу Москвы возбудило уголовные дела по пунктам «в» и «г» части 4 статьи 158 УК РФ о краже, части 2 статьи 273 о создании, использовании и распространении вредоносных компьютерных программ, а также части 1 статьи 173.1 о незаконном создании юридического лица или регистрации предпринимателя через подставных лиц. Расследование продолжается, полиция устанавливает все обстоятельства деятельности группы.
