Гражданина РФ обвиняют в атаках на 80 000 фрилансеров и распространении малвари TVRAT и DarkVNC
Власти США предъявили обвинения 40-летнему гражданину России Серажудину Тамирлановичу Актулаеву. По версии следствия, он и его сообщники использовали порядка 255 фейковых аккаунтов на популярной платформе для фрилансеров и разослали вредоносные Excel-файлы примерно 80 000 пользователей.
Актулаева задержали на Кипре еще в мае 2025 года, а в конце августа 2026 года экстрадировали в США. 31 августа он впервые предстал перед федеральным судом Сан-Франциско и был оставлен под стражей, а следующее заседание по этому делу назначено на 5 октября.
Следует отметить, что обвинительное заключение датировано еще июнем 2021 года, однако американские правоохранители рассекретили его только сейчас. Название пострадавшей платформы в документах не раскрывается, сообщается лишь, что речь идет о крупном сервисе для поиска фрилансеров и заказчиков, базирующемся в Калифорнии.
По версии следствия, вредоносная кампания длилась как минимум с июня 2016 по ноябрь 2017 года. Злоумышленники рассылали через платформу документы Excel, где пользователям предлагали запустить макрос, который скачивал из интернета малварь TVRAT или DarkVNC.
TVRAT (он же TeamSpy и TVSPY) использовал легитимные компоненты TeamViewer для удаленного управления зараженной системой. Ранее исследователи из компании Avast описывали схему, в рамках которой вместе с подписанными бинарниками TeamViewer устанавливалась вредоносная библиотека msimg32.dll. Используя технику DLL hijacking, она загружалась вместо штатной DLL Windows, скрывала интерфейс TeamViewer и передавала операторам ID зараженной машины. Этого ID и заранее заданного пароля хватало для удаленного подключения.
В свою очередь, DarkVNC решал ту же задачу иначе: малварь создавала на машине жертвы скрытый виртуальный рабочий стол, которым атакующие могли управлять посредством VNC.
В конечном итоге оба вредоноса похищали информацию и передавали собранные данные на свой управляющий сервер. По данным Министерства юстиции США, затем Актулаев и его сообщники использовали эти данные в мошеннических схемах и другой преступной деятельности.
Следствие установило, что тысячи компьютеров, зараженных TVRAT, подключались к C2-домену, размещенному в США, и примерно половина пострадавших от этой кампании находилась в Соединенных Штатах.
Кроме того, во время проведения расследования в почтовом ящике, который использовался участниками этой схемы, был найден общий документ с учетными данными от интернет-магазинов и персональной информацией сотен жертв.
Теперь Актулаева обвиняют в сговоре с целью мошенничества и компьютерного мошенничества, распространении вредоносного кода для повреждения защищенных компьютеров, несанкционированном доступе к компьютерам ради кражи данных и извлечения финансовой выгоды, а также краже личных данных при отягчающих обстоятельствах. Сам Актулаев ранее отрицал свою вину и заявлял, что не знал о предъявленных ему обвинениях.
