Russo estradato negli USA: 80.000 freelance bersagliati con TeamSpy e DarkVNC

🛡️ Executive Summary

• Il DOJ accusa Searzhudin Aktulaev di aver usato circa 255 account falsi per inviare file Excel malevoli a circa 80.000 freelance.
• Le macro scaricavano TVRAT, noto anche come TeamSpy o TVSPY, e DarkVNC, consentendo il controllo remoto e il furto di dati.
• Arrestato a Cipro nel 2025 ed estradato negli USA il 28 agosto 2026, Aktulaev rischia fino a 20 anni per la contestazione più grave.

Un cittadino russo di 40 anni, Searzhudin Tamirlanovich Aktulaev, è stato estradato negli Stati Uniti con l’accusa di aver partecipato a una campagna che tra il 2016 e il 2017 avrebbe preso di mira circa 80.000 lavoratori freelance attraverso allegati Excel malevoli distribuiti direttamente sulla piattaforma di messaggistica di una società tecnologica del settore lavoro. Secondo il Dipartimento di Giustizia statunitense, circa 255 account falsi sarebbero stati utilizzati per convincere gli utenti ad aprire documenti e abilitare macro che scaricavano TVRAT/TeamSpy e DarkVNC. Migliaia di computer sarebbero stati effettivamente infettati, consentendo agli operatori di controllare remotamente le macchine e sottrarre credenziali e dati personali.

Aktulaev estradato da Cipro dopo un’incriminazione rimasta sigillata dal 2021

La fonte primaria del caso è l’U.S. Attorney’s Office for the Northern District of California, che il 1° settembre 2026 ha annunciato l’estradizione e reso pubblica un’incriminazione formalmente depositata il 1° giugno 2021. Aktulaev era stato arrestato all’aeroporto di Larnaca, a Cipro, nel maggio 2025 e l’Office of International Affairs del Dipartimento di Giustizia ne ha ottenuto l’estradizione negli Stati Uniti il 28 agosto 2026. Il 31 agosto il cittadino russo è comparso per la prima volta davanti al tribunale federale di San Francisco ed è stato trattenuto in custodia. La prossima udienza indicata dagli atti è fissata al 5 ottobre 2026 davanti al giudice Edward J. Davila Donato. Le accuse comprendono cospirazione per wire fraud, danneggiamento di protected computer attraverso la trasmissione di codice, cospirazione per computer fraud, accesso non autorizzato per ottenere informazioni e valore economico e aggravated identity theft. La contestazione più grave, la cospirazione per wire fraud, prevede una pena massima di 20 anni di carcere. Come precisa lo stesso DOJ, l’indictment contiene accuse e Aktulaev deve essere considerato innocente fino a eventuale condanna definitiva.

Duecentocinquantacinque profili falsi portavano il malware dentro il lavoro freelance

La campagna avrebbe sfruttato direttamente il rapporto di fiducia creato all’interno di una piattaforma tecnologica per il lavoro freelance con sede nel Northern District of California. Il DOJ non rende pubblico il nome dell’azienda e non esistono quindi basi negli atti disponibili per attribuire la vicenda a Upwork, Freelancer o ad altri servizi specifici. Secondo l’accusa, tra almeno giugno 2016 e novembre 2017 gli operatori crearono circa 255 account fraudolenti e utilizzarono il sistema di messaggistica interno per raggiungere approssimativamente 80.000 utenti. I messaggi contenevano file Microsoft Excel costruiti per indurre il destinatario ad abilitare una macro. Una volta eseguita, la macro recuperava da Internet il malware vero e proprio. La tecnica appare oggi meno efficace perché Microsoft dal 2022 blocca per impostazione predefinita le macro VBA nei documenti Office provenienti da Internet, ma nel periodo coperto dall’indagine rappresentava un vettore estremamente comune. Il valore del bersaglio resta invece attualissimo: piattaforme di recruiting e lavoro remoto continuano a offrire agli aggressori un contesto nel quale la ricezione di file, prove tecniche e documenti da sconosciuti fa parte del normale flusso professionale. Le campagne moderne hanno semplicemente sostituito gli Excel con repository, coding challenge e pacchetti software, come avviene nei falsi colloqui che distribuiscono malware nascosto dentro repository e file SVG.

Leggi anche: Nimbus Manticore usa falsi recruiter e test Node.js trojanizzati per distribuire RAT

TeamSpy nascondeva TeamViewer dietro una DLL malevola

Uno dei due malware indicati nell’incriminazione è TVRAT, conosciuto anche come TVSPY o TeamSpy. La documentazione del DOJ lo descrive come un Remote Access Trojan capace di utilizzare TeamViewer per fornire il controllo remoto del sistema compromesso. La storia tecnica del malware permette però di precisare meglio il meccanismo. In un’analisi originale pubblicata da Avast nell’aprile 2017, TeamSpy veniva distribuito proprio attraverso un file Excel con macro: il documento scaricava un installer contenente normali binari TeamViewer firmati digitalmente insieme a una msimg32.dll malevola.

La DLL veniva caricata dal processo sfruttando il DLL search order hijacking e alterava il comportamento di TeamViewer per nascondere finestre, notifiche e indicatori visibili all’utente. Controllare soltanto la firma dell’eseguibile principale non era quindi sufficiente, perché il binario TeamViewer era autentico: il componente ostile si trovava nella libreria caricata lateralmente. Avast documentò inoltre l’hooking di quasi 50 API Windows, l’impiego di una password preconfigurata e l’invio dell’ID TeamViewer del computer compromesso al server di comando. Una volta ottenuti ID e password, l’operatore poteva controllare il desktop, sottrarre file ed eseguire ulteriori programmi.

La tecnica era già stata analizzata anni prima da Kaspersky e CrySyS Lab. Il rapporto originale “The TeamSpy Story” descriveva nel 2013 un modulo di DLL hijacking capace di rendere TeamViewer 6 invisibile all’utente e contemporaneamente trasformarlo in uno strumento di accesso remoto. La campagna attribuita ad Aktulaev dimostra quindi la longevità operativa di quel modello: invece di sviluppare necessariamente un protocollo remoto completamente proprietario, gli aggressori potevano nascondere il proprio controllo dentro un software legittimo già progettato per amministrare computer a distanza.

DarkVNC aggiungeva un secondo canale per controllare le vittime

Il secondo malware indicato dagli atti è DarkVNC, descritto dal DOJ come uno strumento con funzionalità simili a TVRAT ma basato sull’accesso remoto attraverso tecnologia VNC. Entrambe le famiglie trasmettevano i dati sottratti dai computer infetti verso server command-and-control controllati dagli operatori. Secondo l’incriminazione, migliaia di dispositivi infettati da TVRAT effettuavano connessioni verso almeno un dominio C2 ospitato negli Stati Uniti, mentre i domini utilizzati nell’infrastruttura venivano pagati attraverso valuta virtuale. Circa metà delle vittime effettivamente individuate dagli investigatori si trovava negli Stati Uniti e molte erano concentrate proprio nel Northern District of California. La presenza contemporanea di TeamSpy e DarkVNC offriva agli operatori più strumenti per mantenere l’accesso remoto, visualizzare il desktop e utilizzare il dispositivo della vittima come ambiente controllabile. L’uso di strumenti VNC nascosti continua a comparire nelle intrusioni moderne: nella campagna SynkLoader, per esempio, gli operatori combinano phishing su Microsoft Teams, PowerShell, tunnel e controllo remoto del desktop tramite VNC. Cambiano loader e infrastrutture, ma il risultato ricercato resta spesso lo stesso: trasformare la workstation della vittima in una sessione interattiva utilizzabile dall’attaccante.

Credenziali e dati personali diventavano la base per frodi successive

Il controllo remoto aveva una finalità economica precisa. Sul dominio C2 sequestrato o analizzato dagli investigatori sarebbe stato trovato un database contenente migliaia di vittime, mentre un documento condiviso collegato all’account email utilizzato nell’operazione conteneva credenziali di accesso a servizi di e-commerce e personally identifiable information di centinaia di persone. Secondo il DOJ, i dati trasmessi da TVRAT e DarkVNC venivano raccolti e utilizzati da Aktulaev e dai suoi presunti complici per frodi e altre attività criminali. Questo passaggio mostra perché il numero di 80.000 utenti non debba essere confuso con 80.000 computer compromessi: 80.000 rappresentano i freelance ai quali sarebbero stati inviati i messaggi malevoli, mentre gli atti parlano di migliaia di sistemi effettivamente infettati. Il dato è importante sia sotto il profilo tecnico sia giudiziario, perché distingue la scala della campagna dalla quantità di compromissioni accertate. Il modello anticipava quello che oggi viene osservato nelle operazioni contro sviluppatori e contractor remoti. Il singolo professionista non possiede soltanto credenziali personali: può avere token GitHub, accessi cloud, VPN aziendali, wallet, repository e sessioni già autenticate. Per questo le piattaforme di lavoro sono diventate un terreno costante per l’ingegneria sociale. Nel 2026 Sandworm ha utilizzato falsi colloqui per convincere professionisti IT a installare una VPN trojanizzata, mentre gli operatori nordcoreani hanno perfezionato lo stesso ambiente con repository alterati e prove di programmazione. L’operazione attribuita ad Aktulaev mostra che questa superficie di attacco era già redditizia quasi dieci anni prima.

Continua con:

• Contagious Interview nasconde malware nei repository delle prove tecniche per sviluppatori
• PurpleBravo colpisce la supply chain IT attraverso falsi processi di recruiting

L’arresto del 2025 porta in tribunale una campagna iniziata quasi dieci anni fa

La vicenda evidenzia anche la distanza temporale che può separare un’operazione cyber dalla comparizione dell’indagato davanti a un tribunale. La campagna contestata risale al 2016-2017, l’incriminazione è stata depositata nel 2021, Aktulaev è stato arrestato a Cipro nel maggio 2025 e soltanto nell’agosto 2026 è stato estradato negli Stati Uniti. La pubblicazione degli atti arriva quindi quasi dieci anni dopo le prime infezioni. Dal punto di vista tecnico, alcuni dettagli appartengono chiaramente a un’altra generazione di attacchi. Excel con macro, TeamViewer 6 e DLL hijacking richiamano un ecosistema Windows nel quale l’abilitazione manuale delle macro era ancora una delle vie più semplici per ottenere esecuzione. La logica dell’operazione è invece rimasta intatta. L’attaccante entra in un contesto professionale credibile, costruisce account apparentemente legittimi, consegna un file coerente con l’attività della vittima e trasforma un normale strumento di amministrazione remota in un canale clandestino. Il caso Aktulaev dimostra soprattutto che il recruiting e il lavoro freelance erano già una superficie cybercrime prima dell’esplosione dello smart working. Oggi gli allegati Excel sono stati in parte sostituiti da repository GitHub, assignment Node.js, pacchetti npm e falsi client VPN, ma l’ingegneria sociale rimane sorprendentemente simile: l’obiettivo è fare in modo che sia il professionista stesso ad avviare sul proprio computer ciò che l’attaccante non potrebbe eseguire direttamente. A cambiare è la tecnologia della consegna; il rapporto di fiducia sfruttato dalla campagna resta lo stesso.