SAN FRANCISCO / LONDON (IT BOLTWISE) – Die US-Justiz wirft dem russischen Staatsangehörigen Searzhudin Tamirlanovich Aktulaev vor, 2016 und 2017 rund 80.000 Nutzer über Excel-Anhänge mit Malware infiziert zu haben. Laut Anklage setzte er dafür etwa 255 gefälschte Konten auf einer Freelance-Plattform ein. Die Schadsoftware TVRAT soll dabei Daten ausgelesen und an eine in den USA gehostete Command-and-Control-Infrastruktur zurückgesendet haben. Darüber hinaus nennt die Anklage Identitätsdiebstahl und weitere Delikte im Zusammenhang mit gestohlenen Zugangsdaten.
Die Anklage der US-Justiz zeichnet ein Bild, in dem klassische Social-Engineering-Muster und konkrete Office-Betriebsabläufe eng zusammenspielen. Laut DoJ wurde der russische Staatsangehörige Searzhudin Tamirlanovich Aktulaev aus Zypern an die USA überstellt und am 31. August in San Francisco erstmals einem Bundesgericht vorgeführt. Dort wurde er in Gewahrsam genommen. Schon das Setup der Kampagne wirkt wie ein wiederverwendetes Playbook: Mit rund 255 gefälschten Konten auf einer Freelance-Plattform sollen Zielpersonen dazu gebracht worden sein, mit Malware präparierte Excel-Dateien zu öffnen und Makros auszuführen.
Im Kern geht es um einen Liefermechanismus, der die Aufmerksamkeit von Security-Teams oft erst nachgelagert findet: Die Excel-Anhänge sollen Empfänger veranlasst haben, eine Makrofunktion zu starten. Diese Makros luden anschließend Schadsoftware nach dem Prinzip „erst Ausführung, dann Payload“ aus dem Internet nach. Nach den Angaben in der Anklageschrift soll Aktulaev die Operation über den Zeitraum von mindestens Juni 2016 bis November 2017 gesteuert haben. Insgesamt nennt das DoJ rund 80.000 betroffene Nutzer; ein beachtlicher Teil der Opfer soll in den USA, und zwar auch im Zuständigkeitsbereich des Northern District of California, lokalisiert gewesen sein.
Technisch werden dabei zwei Schadprogramm-Varianten beschrieben, die beide Fernzugriff und Datendiebstahl ermöglichen sollen. Eine davon heißt TVRAT und wird in der Anklage als einer von zwei Malware-Typen geführt; sie wird zudem mit einer TeamViewer-nahezugehörigen Funktionalität in Verbindung gebracht. Die zweite Variante ist DarkVNC, die nach einer Analyse des eSentire-Kontexts als versteckte hVNC-Utility („hidden virtual network computing“) beschrieben wird. Für Unternehmen ist in beiden Fällen weniger die reife Form der Fernsteuerung relevant als die Art, wie der Zugriff zustande kommt: Die kompromittierten Rechner sollen sich regelmäßig bei einer Command-and-Control-Infrastruktur (C2) melden, wodurch Operatoren dann gezielt wieder „zurück“ in die Systeme finden.
Besonders aufschlussreich ist, wie TVRAT offenbar mit TeamViewer-Funktionsteilen kombiniert wurde. Das DoJ schreibt, TVRAT nutze eine Schwachstelle in TeamViewer aus. In früheren öffentlichen Analysen hatte ein Sicherheitsanbieter den Mechanismus als Ausnutzung einer TeamViewer-spezifischen Schwachstelle beschrieben, konkret unter Bezug auf Dll-hijacking („DLL-Hijacking“). Eine frei zugängliche technische Einordnung aus dem Jahr 2017 beschreibt zudem einen Weg, bei dem ein Passwort-geschütztes Installer-Paket in Kombination mit legitimen, digital signierten TeamViewer-Bausteinen ausgeliefert wird, während eine bösartige DLL per DLL-Search-Order-Hijacking an die Stelle der echten dynamischen Bibliothek tritt. Avast hatte dazu erklärt, dass gerade diese Reihenfolge-Manipulation die Prüfung über Signaturen des Hauptausführprogramms umgehen kann, weil das eigentliche Signaturbild „unauffällig“ bleibt.
Für die Verteidigung im Betrieb lässt sich daraus eine greifbare Konsequenz ableiten: Selbst wenn Office-Makros im eigenen Umfeld zunehmend kontrolliert oder standardmäßig blockiert werden, bleibt der Angriff pfiffig, weil er auf Windows-Komponenten und API-Interaktionen setzt. Nach den in der Kampagnenbeschreibung erwähnten Details soll die geladene Bibliothek zahlreiche Windows-APIs hooken, um die Anzeige der TeamViewer-Oberfläche und ihrer Dialoge beim Opfer zu unterdrücken. Dadurch sinkt die Wahrscheinlichkeit, dass Nutzer den Fernzugriff überhaupt bemerken; zugleich wird die Zuordnung für die Angreifer vereinfacht, weil die Maschine dem C2-Server die TeamViewer-ID übermittelt und die Operatoren anschließend mit einer vorausgesetzten Kennung verbinden können.
Auch das Datenabfluss- und Missbrauchsszenario wird in der Anklage konkretisiert: Die Schadsoftware soll gestohlene Informationen an den C2-Server gesendet haben, von wo aus die Daten gesammelt und zur Begehung von Betrug oder anderer krimineller Aktivität verwendet worden sein sollen. Zusätzlich nennt die Anklage, dass ein Dokument im genutzten E-Mail-Account E-Commerce-Zugangsdaten sowie personenbezogene Informationen (PII) für hunderte Opfer enthalten habe. In rechtlicher Hinsicht gilt: Aktulaev hat nach Angaben aus dem Umfeld der russischen diplomatischen Vertretung seine Schuld bestritten und sich dabei auf Unkenntnis der US-Vorwürfe berufen. Das DoJ ordnet die Angaben ausdrücklich als Vorwürfe ein; bis zu einem gerichtlichen Beweis bleibt eine Unschuldsvermutung bestehen.
Der Fall passt zudem in ein breiteres Muster, das in der Security-Branche seit Jahren beobachtet wird: Job- und Freelancing-Plattformen gelten als wiederkehrender Köder für staatlich unterstützte Akteure. Laut ESET gab es im Februar 2025 Hinweise darauf, dass nordkoreanische Hacker dieselbe „Freelance-Plattform“-Masche gegen Softwareentwickler einsetzen. Auch unabhängig davon dokumentierten im letzten Monat weitere Teams Kampagnen mit gefälschten Jobangeboten, bei denen nachgeschaltete Backdoors bzw. Remote-Zugriffe automatisiert nachgeladen wurden. Für Entscheider ergibt sich daraus eine praktische Herausforderung: Nicht nur die Endpunkt-Absicherung und Makrokontrollen zählen, sondern auch die Prozesse rund um „Wer kontaktierte wen?“, „Welche Dateien wurden erwartungsgemäß zugesandt?“ und „Wie schnell reagieren wir auf neue, externe Absender?“ – denn genau hier wird der Einstieg über Social Engineering vorbereitet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Russe Angeklagter mit Excel-Malware TVRAT: 80.000 Opfer und Identitätsdiebstahl" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Russe Angeklagter mit Excel-Malware TVRAT: 80.000 Opfer und Identitätsdiebstahl" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Russe Angeklagter mit Excel-Malware TVRAT: 80.000 Opfer und Identitätsdiebstahl« bei Google Deutschland suchen, bei Bing oder Google News!