USA: Russischer Staatsbürger wegen Phishing-Kampagne mit TVRAT und DarkVNC gegen 80.000 Freiberufler angeklagt

Am 2. September 2026 um 05:06 Uhr wurde die Anklage gegen den 40-jährigen russischen Staatsbürger Searzhudin Tamirlanovich Aktulaev öffentlich. Ihm wird vorgeworfen, an einer groß angelegten Phishing-Kampagne gegen Freiberufler beteiligt gewesen zu sein.

Laut der Anklage einer Grand Jury im US-Bundesstaat Kalifornien soll Aktulaev 255 gefälschte Accounts eingesetzt haben, um Microsoft-Excel-Dateien mit schädlichen Makros zu verbreiten. Die Anhänge installierten die Schadprogramme TVRAT und DarkVNC. Diese ermöglichten den Fernzugriff auf die betroffenen Computer und den Diebstahl von Zugangsdaten sowie persönlichen Informationen.

Insgesamt soll die Kampagne 80.000 Freiberufler erreicht oder kompromittiert haben. Etwa die Hälfte der potenziellen Opfer befand sich in den Vereinigten Staaten.

Gefälschte Accounts und Excel-Anhänge als Köder

Die im Juni 2021 eingereichten und in der Woche der Veröffentlichung entsiegelten Gerichtsdokumente beschreiben Aktivitäten zwischen Juni 2016 und November 2017.

Die Angriffe richteten sich gegen Nutzer eines nicht namentlich genannten Unternehmens, das eine Technologieplattform für freiberufliche Arbeit im Northern District of California betrieb. Die Angreifer nutzten somit ein Umfeld, in dem der Austausch von Dokumenten zwischen Kunden und Fachkräften zum normalen Arbeitsablauf gehört.

Aktulaev soll 255 nicht authentische Nutzerprofile erstellt und verwaltet haben. Über diese Accounts schickten die Betreiber den Freiberuflern Microsoft-Excel-Anhänge mit schädlichen Makros.

Das Öffnen der Tabellenkalkulation allein reichte nach den vorliegenden Angaben offenbar nicht für eine vollständige Infektion aus. Die beschriebene Angriffskette setzte die Ausführung der Makros voraus. Nach ihrer Aktivierung luden diese die Schadsoftware aus dem Internet herunter, die anschließend die Kontrolle über das System übernehmen sollte.

Die Namen der Dateien, Hashes, IP-Adressen oder während der Verteilung verwendeten Domains wurden nicht veröffentlicht. Aus den öffentlich zugänglichen Informationen lässt sich daher keine vollständige Liste von Indicators of Compromise ableiten.

TVRAT und DarkVNC verwandelten Computer in Fernzugänge

Die Kampagne basierte auf zwei Malware-Familien mit Funktionen zur Fernsteuerung: TVRAT, auch bekannt als TeamSPy oder TVSPY, sowie DarkVNC.

TVRAT ermöglichte es den Angreifern, die Systeme über TeamViewer zu kontrollieren. DarkVNC nutzte dagegen VNC Viewer, um vergleichbare Funktionen bereitzustellen. Der Einsatz dieser Programme bedeutet nicht, dass die legitimen Produkte selbst verwundbar waren. Gegenstand der Anklage ist vielmehr Malware, die legitime Tools und Protokolle zur Fernadministration missbrauchte.

Die betroffenen Versionen von Microsoft Excel, TeamViewer und VNC Viewer wurden nicht genannt. Ebenso wurde keine konkrete Schwachstelle angegeben; ein zu der Operation gehörender CVE-Eintrag existiert nicht.

Die Angriffskette beruhte vor allem auf Social Engineering:

1. Erstellung eines glaubwürdig wirkenden Accounts auf der Freelance-Plattform;
2. Kontaktaufnahme mit dem Fachkräfte und Versand eines Excel-Dokuments;
3. Ausführung des im Dokument enthaltenen Makros;
4. Download von TVRAT oder DarkVNC;
5. Aufbau eines Fernzugriffskanals;
6. Übertragung der gestohlenen Daten an Command-and-Control-Server.

Beide Schadprogramme kommunizierten mit einer Command-and-Control-Infrastruktur, kurz C2. Tausende mit TVRAT infizierte Computer sollen Verbindungen zu einer in den USA gehosteten C2-Domain aufgebaut haben. Die von den Betreibern verwendeten Domains sollen mit virtueller Währung bezahlt worden sein, wodurch sich die Nutzung herkömmlicher Finanzdaten erschweren ließ.

Zugangsdaten, persönliche Daten und Betrugsrisiko

Der Fernzugriff ermöglichte es den Betreibern, die Aktivitäten der Opfer zu beobachten oder zu manipulieren, lokal gespeicherte Informationen zu durchsuchen und vorhandene Sitzungen auf dem Computer weiterzuverwenden.

Zu den gestohlenen Daten gehörten Zugangsdaten für E-Commerce-Dienste sowie personenbezogene Daten, häufig als PII bezeichnet. Laut Anklage sollen Aktulaev und seine Komplizen diese Informationen für Betrug und andere kriminelle Aktivitäten gesammelt und verwendet haben.

Die Zahl von 80.000 Freiberuflern sollte mit Vorsicht interpretiert werden. Die verfügbaren Dokumente fassen sowohl erreichte als auch infizierte Nutzer zusammen, ohne anzugeben, wie viele lediglich einen Anhang erhalten und wie viele die Malware tatsächlich ausgeführt haben.

Etwa die Hälfte der betroffenen Personen befand sich in den Vereinigten Staaten, mit einem deutlichen Schwerpunkt im Northern District of California. Die Folgen konnten jedoch über den einzelnen Computer hinausgehen: Mit gestohlenen Zugangsdaten sind unter Umständen spätere Zugriffe auf Online-Shops, berufliche Accounts, Zahlungssysteme oder verbundene Dienste möglich.

Die durch Fernzugriffstools gewährleistete Persistenz verlängerte zudem den Zeitraum, in dem die Angreifer aktiv bleiben konnten. Es ging nicht nur um den Diebstahl einer einzelnen Datei, sondern darum, eine dauerhafte Hintertür in das Gerät offenzuhalten.

Von der Festnahme in Zypern bis zur Bundeshaft

Aktulaev wurde im Mai 2025 am Flughafen Larnaka auf Zypern festgenommen. Anschließend wurde er in die Vereinigten Staaten ausgeliefert und befindet sich nun in Bundeshaft.

Seine Anhörung vor dem US-Bundesbezirksrichter Donato ist für den 5. Oktober angesetzt. Bei den Vorwürfen handelt es sich weiterhin um Anschuldigungen, die im Gerichtsverfahren geprüft werden müssen.

Die einzelnen Anklagepunkte, mögliche Höchststrafen oder die Prozesslage weiterer mutmaßlicher Komplizen wurden nicht genannt. Auch die Identität der betroffenen Freelance-Plattform ist weiterhin unbekannt.

Parallel dazu meldete das US-Justizministerium eine gemeinsam mit internationalen Behörden und privaten Partnern durchgeführte weltweite Operation zur Zerschlagung der mit Russland in Verbindung gebrachten Sality-Botnet-Infrastruktur. Es wurden jedoch keine ausreichenden Informationen veröffentlicht, um Aktulaev auch dieser Botnet-Aktivität zuzuordnen.

Kein Patch: Schutzmaßnahmen durch Kontrollen und Spurensuche

In diesem Fall geht es nicht um eine Software-Schwachstelle, die sich durch ein Update beheben lässt. Daher gibt es weder einen CVSS-Score noch einen speziellen Patch oder einen Eintrag im Known Exploited Vulnerabilities-Katalog der CISA.

Für Organisationen, die mit Freiberuflern arbeiten oder regelmäßig Office-Dokumente von externen Absendern erhalten, besteht die wichtigste Maßnahme darin, die Ausführung von Makros einzuschränken und Dateien zu überprüfen, bevor sie die Arbeitsplätze erreichen.

Administratoren können nach bestimmten Verhaltensmustern suchen, die mit der beschriebenen Angriffskette vereinbar sind:

• Excel-Prozesse, die Skripte, Shells oder Programme zum Herunterladen von Dateien starten;
• nicht autorisierte Installationen oder Ausführungen von TeamViewer und VNC-Software;
• unerwartete Remote-Verbindungen, insbesondere von Systemen, die keine Fernwartung benötigen;
• anhaltender Datenverkehr zu unbekannten Domains oder C2-Infrastrukturen;
• neue Dienste, geplante Aufgaben oder Mechanismen für den automatischen Start;
• ungewöhnliche Zugriffe auf E-Commerce-Plattformen nach dem Öffnen von Excel-Anhängen.

Bei einem Verdacht sollte das Gerät vom Netzwerk isoliert und mit aktuellen EDR- oder Antivirenwerkzeugen untersucht werden. Außerdem sollten aktive Sitzungen widerrufen, Zugangsdaten von einem vertrauenswürdigen System aus geändert und geprüft werden, ob dieselben Zugangsdaten an anderer Stelle wiederverwendet wurden.

Das Fehlen spezifischer öffentlich verfügbarer Indicators of Compromise macht das alleinige Blockieren einer Domain unzureichend. Die Untersuchung sollte sich auf das Verhalten konzentrieren: Makros, die ausführbare Dateien herunterladen, ohne Genehmigung installierte Fernwartungssoftware und Verbindungen, die nicht zur üblichen Tätigkeit des Nutzers passen.

Eine Technik, die auf den Gewohnheiten von Freiberuflern aufbaute

Die Stärke der Aktulaev zugeschriebenen Operation beruhte nicht auf einer hochentwickelten Schwachstelle. Stattdessen nutzten die Angreifer eine verbreitete Arbeitsweise aus: Freiberufler erhalten Dokumente von unbekannten Kunden, um einen Auftrag zu bewerten.

Die 255 gefälschten Accounts ermöglichten es, die Zahl der Kontakte zu erhöhen und gesperrte Profile schnell zu ersetzen. Die Excel-Dateien dienten als vertrautes Transportmittel, während TVRAT und DarkVNC Fernzugriff und eine Grundlage für den Datendiebstahl bereitstellten.

Die juristischen Maßnahmen erfolgten erst nach der Festnahme und Auslieferung. Aus Sicht der Abwehr zeigt der Fall jedoch ein weiterhin bestehendes Risiko: Wenn ein externer Anhang Code ausführen und Fernwartungstools installieren kann, kann sich ein gewöhnlicher Arbeitsdialog in eine vollständige Systemkompromittierung verwandeln.