USA, incriminato cittadino russo: phishing con TVRAT e DarkVNC contro 80.000 freelance

Il 2 settembre 2026 alle 05:06 è stata resa pubblica l’incriminazione di Searzhudin Tamirlanovich Aktulaev, cittadino russo di 40 anni, per il presunto coinvolgimento in una vasta campagna di phishing rivolta ai lavoratori freelance.

Secondo l’accusa formulata da un grand jury federale della California, Aktulaev avrebbe impiegato 255 account falsi per distribuire file Microsoft Excel contenenti macro dannose. Gli allegati installavano i malware TVRAT e DarkVNC, strumenti capaci di garantire accesso remoto ai computer colpiti e sottrarre credenziali e informazioni personali.

La campagna avrebbe raggiunto o compromesso complessivamente 80.000 freelance. Circa metà delle potenziali vittime si trovava negli Stati Uniti.

Account falsi e allegati Excel usati come esca

I documenti giudiziari, depositati nel giugno 2021 e desecretati nella settimana della pubblicazione, descrivono attività condotte tra giugno 2016 e novembre 2017.

Gli attacchi prendevano di mira gli utenti di una società non nominata, responsabile di una piattaforma tecnologica per il lavoro freelance nel Northern District of California. La dinamica sfruttava quindi un contesto nel quale lo scambio di documenti tra clienti e professionisti è ordinario.

Aktulaev avrebbe creato e gestito 255 profili utente non autentici. Attraverso questi account, gli operatori inviavano ai freelance allegati in formato Microsoft Excel che contenevano macro malevole.

L’apertura del foglio di calcolo, da sola, non viene indicata come sufficiente a completare l’infezione: la catena descritta richiedeva l’esecuzione delle macro. Una volta attivate, queste scaricavano da Internet il malware destinato a prendere il controllo del sistema.

Non sono stati comunicati i nomi dei file, gli hash, gli indirizzi IP o i domini utilizzati durante la distribuzione. Non è quindi possibile ricavare dai dati pubblici una lista completa di indicatori di compromissione.

TVRAT e DarkVNC trasformavano i computer in accessi remoti

La campagna si basava su due famiglie di malware con funzionalità di controllo remoto: TVRAT, conosciuto anche come TeamSPy o TVSPY, e DarkVNC.

TVRAT permetteva agli aggressori di controllare i sistemi attraverso TeamViewer. DarkVNC sfruttava invece VNC Viewer per ottenere capacità analoghe. L’impiego di questi programmi non implica che i prodotti legittimi fossero vulnerabili: l’accusa riguarda malware che abusavano di strumenti e protocolli di amministrazione remota.

Le versioni di Microsoft Excel, TeamViewer e VNC Viewer coinvolte non sono state rese note. Non è stata inoltre indicata una vulnerabilità specifica, né compare un identificativo CVE associato all’operazione.

La catena d’attacco era fondata soprattutto sull’ingegneria sociale:

1. creazione di un account apparentemente credibile sulla piattaforma freelance;
2. contatto con il professionista e invio di un documento Excel;
3. esecuzione della macro contenuta nel file;
4. download di TVRAT o DarkVNC;
5. apertura di un canale di accesso remoto;
6. trasferimento dei dati sottratti verso server di comando e controllo.

Entrambi i malware comunicavano con infrastrutture command and control, o C2. Migliaia di computer infettati da TVRAT avrebbero effettuato connessioni verso un dominio C2 ospitato negli Stati Uniti. I domini utilizzati dagli operatori sarebbero stati pagati con valuta virtuale, una scelta utile a ridurre l’esposizione dei tradizionali dati finanziari.

Credenziali, dati personali e rischio di frode

L’accesso remoto consentiva agli operatori di osservare o manipolare l’attività delle vittime, cercare informazioni memorizzate localmente e riutilizzare le sessioni disponibili sul computer.

Tra i dati sottratti figuravano credenziali per servizi di e-commerce e informazioni personali identificabili, spesso indicate con la sigla PII. Secondo l’accusa, Aktulaev e i suoi complici avrebbero raccolto e impiegato queste informazioni per frodi o altre attività criminali.

Il dato degli 80.000 freelance deve essere letto con cautela. La documentazione disponibile raggruppa utenti raggiunti o infettati, senza precisare quanti abbiano soltanto ricevuto un allegato e quanti abbiano effettivamente eseguito il malware.

Circa la metà delle persone coinvolte si trovava negli Stati Uniti, con una presenza significativa nel Northern District of California. Le conseguenze potevano però estendersi oltre il singolo computer: una credenziale sottratta può consentire accessi successivi a negozi online, account professionali, sistemi di pagamento o servizi collegati.

La persistenza offerta dagli strumenti di controllo remoto aumentava inoltre il tempo disponibile per gli aggressori. Non si trattava soltanto di rubare un file, ma di mantenere una porta d’ingresso nel dispositivo.

Dall’arresto a Cipro alla custodia federale

Aktulaev è stato arrestato all’aeroporto di Larnaca, a Cipro, nel maggio 2025. In seguito è stato estradato negli Stati Uniti e si trova ora in custodia federale.

La sua comparizione davanti al giudice distrettuale statunitense Donato è prevista per il 5 ottobre. Le contestazioni restano accuse e dovranno essere valutate nel procedimento giudiziario.

Non sono stati indicati i singoli capi d’imputazione, le eventuali pene massime o la posizione processuale di altri presunti complici. Rimane inoltre sconosciuta l’identità della piattaforma freelance interessata.

Parallelamente, il Dipartimento di Giustizia statunitense ha comunicato un’operazione globale, condotta con autorità internazionali e partner privati, per smantellare l’infrastruttura della botnet Sality, collegata alla Russia. Non sono però stati forniti elementi sufficienti per attribuire ad Aktulaev un ruolo anche in quella botnet.

Nessuna patch: la difesa passa da controlli e ricerca delle tracce

Il caso non riguarda una falla software correggibile con un aggiornamento. Di conseguenza, non esistono un punteggio CVSS, una patch dedicata o una voce nel catalogo Known Exploited Vulnerabilities della CISA.

Per le organizzazioni che impiegano freelance o ricevono abitualmente documenti Office da soggetti esterni, la misura principale consiste nel limitare l’esecuzione delle macro e controllare i file prima che raggiungano le postazioni di lavoro.

Gli amministratori possono cercare alcuni comportamenti compatibili con la catena descritta:

• processi di Excel che avviano script, shell o programmi incaricati di scaricare file;
• installazioni o esecuzioni non autorizzate di TeamViewer e software VNC;
• connessioni remote inattese, soprattutto da sistemi che non richiedono assistenza;
• traffico persistente verso domini sconosciuti o infrastrutture C2;
• nuovi servizi, attività pianificate o meccanismi di avvio automatico;
• accessi anomali a piattaforme di e-commerce dopo l’apertura di allegati Excel.

In presenza di sospetti, il dispositivo dovrebbe essere isolato dalla rete e analizzato con strumenti EDR o antivirus aggiornati. È opportuno revocare le sessioni attive, cambiare le credenziali da un sistema affidabile e verificare se gli stessi dati di accesso siano stati riutilizzati altrove.

L’assenza di indicatori pubblici specifici rende insufficiente il semplice blocco di un dominio. La ricerca deve concentrarsi sui comportamenti: macro che scaricano eseguibili, software di controllo remoto comparso senza autorizzazione e connessioni incompatibili con l’attività ordinaria dell’utente.

Una tecnica costruita sulle abitudini dei freelance

La forza dell’operazione attribuita ad Aktulaev non dipendeva da una vulnerabilità sofisticata. Sfruttava invece una pratica comune: ricevere documenti da clienti sconosciuti per valutare un incarico.

I 255 account falsi consentivano di moltiplicare i contatti e sostituire rapidamente i profili eventualmente bloccati. I file Excel fornivano un veicolo familiare, mentre TVRAT e DarkVNC offrivano accesso remoto e una base per il furto di dati.

La risposta giudiziaria è arrivata dopo l’arresto e l’estradizione. Sul piano difensivo, il caso mostra però un limite ancora attuale: quando un allegato esterno può eseguire codice e installare strumenti remoti, una normale conversazione di lavoro può trasformarsi in una compromissione completa.