SAN FRANCISCO / LONDON (IT BOLTWISE) – Ein russischer Hacker, der vor über einem Jahrzehnt Schadsoftware per bösartigen Excel-Anhängen verbreitet haben soll, ist nach Jahren Ermittlungen in den USA angeklagt und vor Gericht vorgeführt worden. Die Anklage nennt eine Kampagne gegen Freelancer, die zwischen Juni 2016 und November 2017 rund 80.000 Nutzer erreicht haben soll. Laut Ermittlern sollen mit Makros zunächst Schadcode aus dem Internet nachgeladen und anschließend ein Fernzugriff für Datenabfluss ermöglicht worden sein. Betroffen waren dabei angeblich auch Varianten, die auf legitime Tools wie TeamViewer und VNC Viewer abzielten.
Die Festnahme eines Angreifers, der vor allem über scheinbar harmlose Excel-Dateien zugeschlagen haben soll, zeigt einmal mehr, wie langlebig bestimmte Malware-Methoden sind. In der Anklage wird beschrieben, dass der mutmaßliche Täter bösartige Anhänge gezielt an Freelancer verschickt haben soll, wodurch eine Infektionskette ausgelöst wurde, sobald Nutzer die Datei öffneten und die Makros ausführten. Solche Makro-gestützten Angriffe sind seit Jahren ein Klassiker in der Cyberkriminalität, weil sie den Nutzerprozess ausnutzen: Sobald eine Microsoft-Office-Datei Makros ausführt, kann sie automatisiert weitere Schritte anstoßen, ohne dass sich das Opfer typischerweise aktiv „durchklickt“. Der Fall rückt zudem eine konkrete Größenordnung in den Fokus: Laut US-Ermittlern soll die Kampagne auf etwa 80.000 Nutzer zwischen Juni 2016 und November 2017 gezielt haben.
Technisch basiert das Vorgehen auf einem Mechanismus, der für viele Unternehmen über Jahre hinweg unterschätzt wurde: Excel-Makros sind in der Lage, komplette Befehlssequenzen im Hintergrund auszuführen. In der Darstellung der Ermittler heißt es, die Anhänge hätten beim Öffnen dazu aufgefordert, ein Makro zu starten; dieses Makro habe anschließend Malware aus dem Internet nachgeladen. Genau diese „Zwischenstufe“ macht den Angriff so gefährlich: Die bösartige Logik liegt zunächst in der Office-Datei selbst, später wird ein weiterer Payload-Schritt nachgezogen, sodass klassische statische Prüfungen einer einzelnen Datei weniger zuverlässig sind. In diesem konkreten Fall soll die Malware zwei Varianten umfasst haben, die als TeamSpy und DarkVNC beschrieben werden, beide wiederum darauf ausgelegt, legitime Fernzugriffs-Software zu missbrauchen.
Damit verknüpft ist der eigentliche operative Kern: Die Schadsoftware soll Remote-Zugriffsfunktionen genutzt haben, um unbemerkt auf den Rechner eines Opfers zu gelangen und anschließend Datenabfluss zu ermöglichen. Laut den Angaben soll die Manipulation dabei an bestehender Remote-Zugriffs-Software wie TeamViewer und VNC Viewer ansetzen, also an Programmen, die im legitimen Einsatz zur Wartung oder zum Support verwendet werden. Das ist ein typisches Muster moderner Stealth-Ansätze: Nicht „neue“ Werkzeuge werden gebaut, sondern vertrauenswürdige Konzepte werden missbraucht. Die Ermittler nennen außerdem, dass der Angreifer dazu etwa 255 gefälschte Konten eingesetzt haben soll, um die Nachrichten mit den schädlichen Excel-Anhängen zu verbreiten. Dass in der Praxis nicht „alle“ 80.000 Betroffenen erwischt wurden, heißt allerdings nicht, dass der Schaden gering gewesen wäre: Es seien tausende infizierte Systeme gefunden worden, und eine Datenbank am Command-and-Control-Standort soll auf viele weitere Opfer hingewiesen haben.
Für die Einordnung ist wichtig, dass der Angriff offenbar nicht nur opportunistisch war, sondern eine wiederkehrende Zielgruppe hatte: die Ermittler ordnen den Angriff in den Kontext von Plattformen und Technologien ein, die im Freelancer-Umfeld genutzt werden. Konkret soll der mutmaßliche Täter eine in Kalifornien ansässige „gut bekannte“ Beschäftigungs-Technologie im Freelancer-Bereich ausgenutzt haben, um die Verbindung zwischen Nutzerinteresse und Datei-Anspruch herzustellen. Solche Social-Engineering-Ketten erklären auch, warum die Kampagne über mehrere Monate laufen konnte: Sobald das Opfer eine Datei in Erwartung einer Bewerbung oder Beauftragung öffnet, reicht die Aktivierung von Makros für den nächsten Schritt. Neben den technischen Details macht das vor allem für Sicherheitsverantwortliche deutlich, dass „Office-Schutz“ allein nicht genügt, wenn die Angriffsvorstufe (Anschein von Legitimität) die Nutzerhandlung ansteuert.
Der juristische Ablauf trägt ebenfalls zur Relevanz bei. Die Anklage gegen den 40-jährigen russischen Staatsangehörigen, Searzhudin Tamirlanovich Aktulaev, wurde laut Angaben im Jahr 2021 eingereicht, aber erst jetzt veröffentlicht; er soll im Mai 2025 auf Zypern festgenommen worden sein und anschließend in die USA ausgeliefert worden sein. In den USA folgte die erste gerichtliche Anhörung in San Francisco, während der mutmaßliche Tatvorwurf im Raum steht. Für eine mögliche Strafhöhe spielt die Einstufung der Delikte eine Rolle; die Ermittler nennen als maximale Gesamthöhe für die einschlägigen Computer- und Betrugsvorwürfe mehr als 35 Jahre Haft, wobei eine Verurteilung natürlich noch aussteht und damit nicht als entschieden gilt. Damit ist der Fall auch ein Signal an die Branche: Selbst lange zurückliegende Kampagnen können später sichtbar werden, wenn Ermittler die technischen Spuren aus Command-and-Control-Infrastrukturen mit heutigen Datenquellen abgleichen.
Aus Sicht der Markt- und Abwehrseite ist das Zusammenspiel zwischen Antivirenwarnungen und echter Wirksamkeit zentral. Bereits 2017 soll ein Sicherheitsanbieter vor „TeamSpy“ gewarnt haben, das demnach über bösartige Excel-Dateien in Umlauf gewesen sei. Die eigentliche Innovation der Täter lag jedoch nicht nur im Einsatz von Makros, sondern im Verhalten nach der Aktivierung: Angeblich soll die Makro-Ausführung die eigentliche Malware in einem konfigurierten Zustand nachladen und dabei den Nutzer möglichst wenig alarmieren. Für die Unternehmenspraxis bedeutet das: Echte Sicherheitsgewinne entstehen weniger durch einzelne Signaturen, sondern durch mehrschichtige Kontrollen, etwa Makro-Einschränkungen, strengere Dateihandhabung, Netzwerksegmentierung und das Monitoring von späteren Remote-Zugriffs-Indikatoren. Gerade weil die Payload an legitime Remote-Software anlehnt, sollten auch Telemetrie und Endpoint-Detection darauf trainiert sein, „ungewöhnliche Remote-Session-Muster“ zu erkennen, nicht nur bekannte Malware-Dateien zu blockieren.
Was bleibt, ist ein konkreter Handlungsimpuls für IT-Leitung und Security Teams: Freelancer-Ökosysteme und Office-getriebene Kommunikationswege sind weiterhin attraktive Angriffsflächen. Wenn Angreifer Makros als Auslöser nutzen und danach Fernzugriffskomponenten nachladen, verschiebt sich der Fokus von reiner Dateisichtung hin zu Verhaltenserkennung rund um Ausführung, Netzwerkaufrufe und späteren Datenausgang. Unternehmen, die eng mit solchen Zielgruppen oder über ähnliche Interaktionspfade arbeiten, sollten ihre Prozesse für verdächtige Anhänge deshalb konsequent testen – inklusive der Frage, wie schnell Teams reagieren können, wenn ein Makro bereits ausgeführt wurde. Der Fall zeigt jedenfalls, dass „Office-Anhang“ nicht gleichbedeutend mit „kleines Risiko“ ist, sondern der Startschuss für einen vollständigen Angriffsstapel sein kann, der bis heute in Form von Drittdaten und infizierten Endpunkten nachwirkt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Angreifer mit TeamSpy-Excel-Malware nach Jahren festgenommen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Angreifer mit TeamSpy-Excel-Malware nach Jahren festgenommen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Angreifer mit TeamSpy-Excel-Malware nach Jahren festgenommen« bei Google Deutschland suchen, bei Bing oder Google News!