États-Unis : un ressortissant russe inculpé pour une campagne de phishing utilisant TVRAT et DarkVNC contre 80 000 freelances

Le 2 septembre 2026 à 05 h 06, l’inculpation de Searzhudin Tamirlanovich Aktulaev, un ressortissant russe âgé de 40 ans, a été rendue publique. Il est soupçonné d’avoir participé à une vaste campagne de phishing ciblant des travailleurs indépendants.

Selon l’acte d’accusation établi par un grand jury fédéral de Californie, Aktulaev aurait utilisé 255 comptes falsifiés pour distribuer des fichiers Microsoft Excel contenant des macros malveillantes. Ces pièces jointes installaient les malwares TVRAT et DarkVNC, capables de fournir un accès à distance aux ordinateurs compromis et de dérober des identifiants ainsi que des informations personnelles.

La campagne aurait touché ou compromis au total 80 000 freelances. Environ la moitié des victimes potentielles se trouvaient aux États-Unis.

De faux comptes et des pièces jointes Excel utilisées comme appât

Les documents judiciaires, déposés en juin 2021 puis déclassifiés la semaine de la publication, décrivent des activités menées entre juin 2016 et novembre 2017.

Les attaques visaient les utilisateurs d’une entreprise non identifiée, responsable d’une plateforme technologique de travail indépendant dans le Northern District of California. Le scénario reposait donc sur un contexte où l’échange de documents entre clients et professionnels est courant.

Aktulaev aurait créé et administré 255 profils utilisateurs frauduleux. Par l’intermédiaire de ces comptes, les opérateurs envoyaient aux freelances des pièces jointes au format Microsoft Excel contenant des macros malveillantes.

L’ouverture du tableur ne suffisait pas, à elle seule, à finaliser l’infection : la chaîne décrite nécessitait l’exécution des macros. Une fois activées, celles-ci téléchargeaient depuis Internet le malware chargé de prendre le contrôle du système.

Les noms de fichiers, les hachages, les adresses IP et les domaines utilisés lors de la diffusion n’ont pas été communiqués. Les informations publiques ne permettent donc pas d’établir une liste complète d’indicateurs de compromission.

TVRAT et DarkVNC transformaient les ordinateurs en points d’accès à distance

La campagne reposait sur deux familles de malwares dotées de fonctions de contrôle à distance : TVRAT, également connu sous les noms TeamSPy ou TVSPY, et DarkVNC.

TVRAT permettait aux attaquants de contrôler les systèmes via TeamViewer. DarkVNC utilisait quant à lui VNC Viewer pour obtenir des capacités similaires. L’utilisation de ces logiciels ne signifie pas que les produits légitimes étaient vulnérables : l’accusation porte sur des malwares qui détournaient des outils et des protocoles d’administration à distance.

Les versions de Microsoft Excel, TeamViewer et VNC Viewer concernées n’ont pas été précisées. Aucune vulnérabilité particulière n’a non plus été mentionnée et aucun identifiant CVE n’est associé à l’opération.

La chaîne d’attaque reposait principalement sur l’ingénierie sociale :

1. création d’un compte apparemment crédible sur la plateforme de travail indépendant ;
2. prise de contact avec le professionnel et envoi d’un document Excel ;
3. exécution de la macro contenue dans le fichier ;
4. téléchargement de TVRAT ou de DarkVNC ;
5. ouverture d’un canal d’accès à distance ;
6. transfert des données dérobées vers des serveurs de commande et de contrôle.

Les deux malwares communiquaient avec des infrastructures de command and control, ou C2. Des milliers d’ordinateurs infectés par TVRAT auraient établi des connexions vers un domaine C2 hébergé aux États-Unis. Les domaines utilisés par les opérateurs auraient été payés en cryptomonnaie, une méthode permettant de limiter l’exposition des données financières traditionnelles.

Identifiants, données personnelles et risque de fraude

L’accès à distance permettait aux opérateurs d’observer ou de manipuler l’activité des victimes, de rechercher des informations stockées localement et de réutiliser les sessions ouvertes sur l’ordinateur.

Les données dérobées comprenaient notamment des identifiants de services de commerce en ligne et des informations personnelles identifiables, souvent désignées par l’acronyme PII. Selon l’accusation, Aktulaev et ses complices auraient collecté et utilisé ces informations à des fins de fraude ou pour d’autres activités criminelles.

Le chiffre de 80 000 freelances doit être interprété avec prudence. Les documents disponibles regroupent les utilisateurs contactés et les utilisateurs infectés, sans préciser combien ont simplement reçu une pièce jointe ni combien ont effectivement exécuté le malware.

Environ la moitié des personnes concernées se trouvaient aux États-Unis, avec une présence importante dans le Northern District of California. Les conséquences pouvaient toutefois dépasser le seul ordinateur compromis : un identifiant dérobé peut permettre des accès ultérieurs à des boutiques en ligne, des comptes professionnels, des systèmes de paiement ou des services associés.

La persistance offerte par les outils de contrôle à distance augmentait également le temps dont disposaient les attaquants. Il ne s’agissait pas seulement de voler un fichier, mais de conserver une porte d’entrée dans l’appareil.

De l’arrestation à Chypre à la détention fédérale

Aktulaev a été arrêté à l’aéroport de Larnaca, à Chypre, en mai 2025. Il a ensuite été extradé vers les États-Unis et se trouve désormais en détention fédérale.

Sa comparution devant le juge fédéral américain Donato est prévue le 5 octobre. Les faits qui lui sont reprochés restent des accusations et devront être examinés dans le cadre de la procédure judiciaire.

Le détail des chefs d’accusation, les peines maximales éventuelles et la situation procédurale d’autres complices présumés n’ont pas été précisés. L’identité de la plateforme de travail indépendant concernée demeure également inconnue.

Parallèlement, le département de la Justice des États-Unis a annoncé une opération internationale, menée avec des autorités étrangères et des partenaires privés, visant à démanteler l’infrastructure du botnet Sality, lié à la Russie. Aucun élément suffisant n’a toutefois été fourni pour attribuer également à Aktulaev un rôle dans ce botnet.

Aucun correctif : la défense repose sur les contrôles et la recherche de traces

Cette affaire ne concerne pas une faille logicielle pouvant être corrigée par une mise à jour. Il n’existe donc ni score CVSS, ni correctif dédié, ni entrée dans le catalogue Known Exploited Vulnerabilities de la CISA.

Pour les organisations qui travaillent avec des freelances ou reçoivent régulièrement des documents Office de la part de tiers, la principale mesure consiste à limiter l’exécution des macros et à contrôler les fichiers avant leur arrivée sur les postes de travail.

Les administrateurs peuvent rechercher certains comportements compatibles avec la chaîne décrite :

• des processus Excel lançant des scripts, des shells ou des programmes chargés de télécharger des fichiers ;
• des installations ou exécutions non autorisées de TeamViewer et de logiciels VNC ;
• des connexions à distance inattendues, en particulier depuis des systèmes ne nécessitant aucune assistance ;
• un trafic persistant vers des domaines inconnus ou des infrastructures C2 ;
• de nouveaux services, des tâches planifiées ou des mécanismes de démarrage automatique ;
• des accès inhabituels à des plateformes de commerce en ligne après l’ouverture de pièces jointes Excel.

En cas de suspicion, l’appareil doit être isolé du réseau et analysé avec des outils EDR ou un antivirus à jour. Il convient de révoquer les sessions actives, de modifier les identifiants depuis un système fiable et de vérifier si les mêmes informations d’accès ont été réutilisées ailleurs.

L’absence d’indicateurs publics spécifiques rend insuffisant le simple blocage d’un domaine. La recherche doit se concentrer sur les comportements : macros téléchargeant des exécutables, logiciel de contrôle à distance apparu sans autorisation et connexions incompatibles avec l’activité habituelle de l’utilisateur.

Une technique fondée sur les habitudes des freelances

L’efficacité de l’opération attribuée à Aktulaev ne reposait pas sur une vulnérabilité sophistiquée. Elle exploitait plutôt une pratique courante : recevoir des documents de clients inconnus afin d’évaluer une mission.

Les 255 comptes falsifiés permettaient de multiplier les contacts et de remplacer rapidement les profils éventuellement bloqués. Les fichiers Excel constituaient un vecteur familier, tandis que TVRAT et DarkVNC fournissaient un accès à distance ainsi qu’un moyen de dérober des données.

La réponse judiciaire est intervenue après l’arrestation et l’extradition. Sur le plan défensif, cette affaire met toutefois en évidence une limite toujours d’actualité : lorsqu’une pièce jointe externe peut exécuter du code et installer des outils d’accès à distance, une conversation professionnelle ordinaire peut se transformer en compromission complète.