«Касперский зертханасы» Қазақстан мен ТМД елдеріндегі ұйымдарға VasyGrek тобының 100-ден астам шабуыл жасау әрекетін тіркеді

2026 жылдың алғашқы үш тоқсанында «Касперский зертханасы» сарапшылары VasyGrek (Fluffy Wolf атауымен де белгілі) тобының Қазақстан, Ресей және Беларусь ұйымдарына 100-ден астам шабуыл жасау әрекетін тіркеді. Зиянкестер көбіне металлургия кәсіпорындарын, шикізат пен өнеркәсіптік материалдарды көтерме жеткізетін компанияларды және мемлекеттік мекемелерді нысанаға алған. Шабуыл нысаналарының арасында денсаулық сақтау, мұнай-газ, энергетика, қаржы және агроөнеркәсіп салаларындағы ұйымдар да бар.

«Касперский зертханасы» сарапшылары топтың қандай құралдар қолданатынын және корпоративтік құрылғыларға зиянды бағдарламаларды қалай жұқтыратынын зерттеді. Олар бұрын сипатталмаған шабуыл тәсілін анықтады. Бұл тәсілде зиянкестер фишингтік хаттар арқылы құрылғыға бэкдор орнатқан.

Шабуыл қалай жасалды? Қауіптерді бақылау кезінде «Касперский зертханасы» сарапшылары VasyGrek тобының бұрын белгісіз болған шабуылын анықтады. Зиянкестер ықтимал құрбандарға бухгалтерлік құжат ретінде көрсетілген архивтерге сілтемесі бар фишингтік хаттар жіберген. Архивтердің ішінде зиянды орнату файлдары болған. Оларды іске қосқанда кәдімгі құжатқа ұқсайтын алдамшы файл ашылған. Сол сәтте заңды бағдарлама процесі де іске қосылып, оған Golang тілінде жазылған бэкдор жүктелген. Соның көмегімен зиянкестер вирус жұққан құрылғыда командаларды қашықтан орындай алған.

Зиянкестер зиянды бағдарламаның кодын жасыратын арнайы құралдарды қолданып, оны талдауды қиындатқан. Дегенмен сарапшылар бэкдордың басқару серверлерімен байланысқанын анықтады. Шабуыл жасаушылар осы серверлер арқылы командалар жіберіп, олардың орындалу нәтижелерін алған.

Топ тағы қандай тәсілдерді қолданды? «Касперский зертханасы» сарапшылары VasyGrek тобы зиянды бағдарламаларды таратудың басқа жолдарын да пайдаланғанын анықтады. Мысалы, зиянды бағдарлама бірнеше кезеңмен орнатылатын схемалар қолданылған. Ол үшін басқа зиянды компоненттерді жүктеп, орнататын дропперлер пайдаланылған.

Осындай шабуылдардың бірінде зиянды скрипт қосымша компоненттерді заңды интернет-сервистерден жүктеген. Сондай-ақ зиянкестер Rust тілінде жазылған дропперлер арқылы PureRAT бэкдорын орнатқан. Бұл бағдарлама жүйеге орнығып, құрылғыны қашықтан басқаруға және құпия ақпаратқа қол жеткізуге мүмкіндік берген.

2025–2026 жылдары топ PowerLoader жүктеушісін және Pay2Key шифрлаушы бағдарламасын да қолдана бастады. PowerLoader қорғаныс шешімдерін айналып өту тәсілдерін пайдаланады. Ал PureRAT бағдарламасына PluginRemoteDesktop плагині қосылды. Ол вирус жұққан құрылғының жұмыс үстелін қашықтан басқаруға мүмкіндік береді.

«2026 жылы VasyGrek тобының әрекеті өзгергенін байқадық. Бұрын оның негізгі нысанасы Ресейдегі ұйымдар болса, биыл Беларусь пен Қазақстандағы компаниялар да ықтимал құрбандар қатарына қосылды. Зиянкестер бұрынғыдай әлеуметтік инженерия тәсілдерін қолданды. Мысалы, бухгалтерлік мәселелер немесе өзара есеп айырысуды салыстыру актілері туралы іскерлік хатқа ұқсайтын фишингтік хабарламалар жіберді. Бірақ шабуылдардың техникалық жағы күрделене түсті. Зиянкестер құрылғыларға зиянды бағдарламаларды бірнеше кезеңмен жұқтырып, олардың компоненттерін заңды интернет-сервистерге орналастырған. Осылайша өз әрекеттерін жасырып, шабуылдарды талдауды қиындатқан. Бұл жағдай күрделі техникалық құралдар қолданылған күннің өзінде шабуыл қызметкер күнделікті жұмыс хаты деп қабылдайтын қарапайым хабарламадан басталуы мүмкін екенін көрсетеді», — дейді «Касперский зертханасының» қауіптерді терең зерттеу бөлімінің жетекшісі Никита Назаров.

«Касперский зертханасының» шешімдері жоғарыда сипатталған барлық зиянды бағдарламаларды анықтайды. Олардың қатарында Backdoor.MSIL.Agent.sb, Trojan.Win32.Shellcode.sb, Trojan-Downloader.Agent.HTTP.C&C, Trojan.JS.SAgent.sb және HEUR:Trojan-Ransom.Win32. бар.Backdoor.MSIL.Agent.sbTrojan.Win32.Shellcode.sbTrojan.JS.SAgent.sb

Мұндай зиянды бағдарламалардан қорғану үшін киберқауіпсіздік сарапшылары мына кеңестерді ұсынады:

• Бейтаныс адамдардан келген хаттардағы сілтемелерді ашпаңыз. Орындалатын файл кеңейтімі бар тіркемелерді де іске қоспаңыз;
• Жұмыс компьютерлері мен серверлердегі процестерді, желілік қосылымдарды және жүйелік тізілімдегі өзгерістерді үздіксіз бақылаңыз. Ол үшін Kaspersky EDR Expert сияқты құрылғыларды қорғау шешімін пайдалануға болады. Бұл шабуылдың бастапқы кезеңінде күмәнді әрекеттерді дер кезінде анықтауға көмектеседі;Kaspersky EDR Expert
• Күдікті файлдар мен скрипттерді оқшауланған Advanced Sandbox («құмсалғыш») ортасына автоматты түрде жіберуді реттеңіз. Мұндай мүмкіндік Kaspersky Anti Targeted Attack платформасында бар;Kaspersky Anti Targeted Attack
• Қорғаныс стратегиясын құру үшін қазіргі киберқауіптер туралы ақпаратты үнемі қадағалаңыз. Мысалы, Kaspersky Threat Intelligence сервистерін пайдалануға болады.Kaspersky Threat Intelligence