Russo estradato da Cipro: incriminato per malware a 80.000 freelancer

Searzhudin Tamirlanovich Aktulaev, 40 anni, è stato estradato da Cipro il 28 agosto 2026 e ha fatto la sua prima apparizione nel tribunale federale di San Francisco tre giorni dopo. L'incriminazione, depositata nel giugno 2021 e sbloccata il 31 agosto 2026, ricostruisce una campagna malware del 2016-2017 che ha usato la fiducia di una piattaforma freelance per distribuire allegati Excel con macro malevoli a circa 80.000 utenti. La storia torna alla ribalta nel 2026 non per una nuova tecnica, ma per la conferma che la cooperazione giudiziaria internazionale può mettere i paletti anni dopo i fatti.

La catena dell'attacco: piattaforma di fiducia come vettore

Aktulaev ha sfruttato circa 255 account falsi su una piattaforma descritta nelle fonti come "well-known freelance employment technology company" con sede nel Northern District of California. Non è stato identificato pubblicamente il nome della piattaforma, ma la strategia è chiara: usare un marketplace di lavoro autonomo, dove la comunicazione tra clienti e freelancer è normale e attesa, per mascherare la consegna del payload.

Gli allegati Excel contenevano macro VBA che, una volta abilitate dalla vittima, scaricavano malware da remoto. La campagna ha avuto una durata di circa 17 mesi, dal giugno 2016 al novembre 2017. Secondo le fonti, circa la metà delle vittime si trovava negli Stati Uniti, con concentrazione nel Northern District of California — la stessa giurisdizione federale dove la piattaforma ha sede e dove Aktulaev è stato processato.

Il dato di 80.000 destinatari si riferisce agli allegati inviati, non necessariamente ai computer effettivamente infetti, che le fonti descrivono come "migliaia". Questa distinzione è rilevante per calibrare l'impatto: la superficie di attacco era ampia, ma la conversione dipendeva dall'abilitazione delle macro da parte dell'utente.

"Both TVRAT and DarkVNC malware sent stolen data from a victim computer to a command-and-control server, from which the stolen data was collected and used by Aktulaev and his co-conspirators to commit fraud or other criminal activity" — U.S. Department of Justice, via BleepingComputer

TVRAT e DarkVNC: due strumenti, due modalità di controllo

I malware distribuiti erano TVRAT, noto anche come TeamSpy o TVSPY, e DarkVNC. TVRAT è un trojan di accesso remoto basato su TeamViewer. La tecnica di persistenza e occultamento sfrutta un DLL hijacking: il malware piazza una libreria maligna, msimg32.dll, che viene caricata al posto della originale durante l'avvio di TeamViewer. Questo permette l'accesso remoto senza che l'utente lo percepisca come anomalo, dato che TeamViewer è un software legittimo e riconosciuto.

Il meccanismo è stato documentato da Kaspersky nel 2013 per una vulnerabilità in TeamViewer v6, descritta come DLL-hijacking. TeamViewer ha negato l'esistenza di una vulnerabilità nel proprio software in una dichiarazione a Security Affairs del febbraio 2017: "We have no evidence to assume a vulnerability of our software". Avast ha analizzato nel 2017 un campione di TeamSpy diffuso via macro Excel, confermando la tecnica di DLL search order hijacking con msimg32.dll e definendola "a clever technique". La tecnica non richiede una vulnerabilità nel senso classico: sfrutta l'ordine di ricerca delle librerie di Windows, un comportamento di sistema.

DarkVNC, invece, è un tool hVNC — hidden VNC — che consente di controllare il desktop della vittima in modo invisibile all'utente locale. Secondo eSentire, DarkVNC è stato pubblicizzato sul forum Exploit il 24 novembre 2016, data coerente con il periodo della campagna di Aktulaev. La combinazione di TVRAT per accesso remoto persistente e DarkVNC per interazione desktop nascosta offriva flessibilità operativa in base al contesto della vittima.

Dal furto di dati alla monetizzazione: credenziali e PII in circolazione

I dati esfiltrati convergevano su server di comando e controllo. Il Department of Justice, citato da BleepingComputer, ha dichiarato che migliaia di computer infetti da TVRAT effettuavano callback a un dominio C2 ospitato negli Stati Uniti. I domini erano pagati in valuta virtuale, secondo la stessa fonte.

In un documento condiviso nell'account email usato per lo schema sono state trovate credenziali e-commerce e informazioni di identificazione personale — PII — di centinaia di vittime. Il percorso è quello classico del cybercrimine strutturato: furto di credenziali, accumulo in repository centralizzati, riutilizzo per frodi successive. Le fonti non specificano l'entità esatta dei danni finanziari causati né il destino delle credenziali nel tempo successivo alla campagna.

Le accuse formali comprendono cospirazione per wire fraud, trasmissione di codice dannoso, cospirazione per computer fraud, accesso non autorizzato per ottenere informazioni a scopo di profitto, e aggravated identity theft. Aktulaev ha negato la colpevolezza, secondo dichiarazioni dell'Ambasciata russa a Nicosia riportate da RIA Novosti e TASS. La comparizione successiva davanti al giudice Donato è prevista per il 5 ottobre 2026.

Perché una campagna del 2017 torna rilevante nel 2026

La riemersione di questa storia nel 2026 non è aneddotica. Mostra tre fenomeni di rilievo per il settore cybersecurity.

Primo: la longevità delle tecniche. Le macro VBA malevole sono ancora oggi un vettore attivo, nonostante Microsoft abbia bloccato le macro VBA by default dal 2022 per i file Office scaricati da Internet. La campagna di Aktulaev precede di anni questa mitigazione, il che spiega il successo iniziale ma non garantisce immunizzazione: gli utenti possono ancora bypassare i blocchi, e le piattaforme legacy possono non aver implementato le protezioni più recenti.

Secondo: la weaponizzazione delle piattaforme di trust. I marketplace freelance non sono canali di comunicazione tradizionali: la vittima non si aspetta phishing in un ambiente dove ha scelto di lavorare, dove riceve file è normale, dove la verifica dell'identità del mittente è spesso limitata ai meccanismi della piattaforma stessa. Aktulaev ha sfruttato questa asimmetria creando 255 account falsi, un volume che suggerisce automazione e scalabilità.

Terzo: il ritardo giudiziario come variabile strategica. L'indictment è del 2021, l'arresto nel 2025, l'estradizione nel 2026. Cinque anni tra l'accusa formale e la consegna all'accusa, dieci dalla conclusione della campagna. Questo ritardo ha implicazioni per la preservazione delle prove, per la memoria istituzionale delle vittime, e per la percezione di impunità che può alimentare operatori simili.

Il dossier non specifica se co-conspirators identificati siano stati incriminati o se le credenziali rubate siano state ritrovate o neutralizzate. Non emerge inoltre se la tecnica DLL hijacking utilizzata da TVRAT sia stata successivamente mitigata da TeamViewer in versioni successive, o se msimg32.dll rimanga un vettore praticabile in ambienti non aggiornati.

Fonti

• https://thehackernews.com/2026/09/extradited-russian-hacker-faces-charges.html
• https://www.bleepingcomputer.com/news/security/us-charges-russian-for-infecting-80-000-freelancers-with-malware/
• https://radar.offseq.com/threat/us-charges-russian-for-infecting-80000-freelancers-with-malware-85b4f60c522efd09
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html
• https://thehackernews.com/search/label/Threat%20Intelligence
• https://thehackernews.com/search/label/Vulnerability

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti