EUA indiciam russo por infectar 80 mil freelancers com malware para roubo de dados e fraude
Um grande júri federal da Califórnia indiciou o russo Searzhudin Tamirlanovich Aktulaev, extraditado após ser detido no Chipre, por operar uma campanha de phishing que, entre 2016 e 2017, usou 255 contas falsas para enviar planilhas Excel maliciosas a 80 mil freelancers de uma plataforma de emprego. Os malwares TVRAT e DarkVNC davam controle remoto total sobre as máquinas infectadas via TeamViewer e VNC, coletando credenciais de e-commerce e dados pessoais posteriormente usados para fraude.
O caso, embora relativo a fatos de 2016-2017, só resultou em indiciamento formal agora, após a extradição do acusado detido em maio de 2025 no Chipre — um lembrete de que investigações de fraude cibernética frequentemente levam anos para chegar à fase de acusação, e que a ausência de punição imediata não significa que operações antigas tenham ficado impunes. Segundo a acusação, Aktulaev criou 255 contas falsas em uma plataforma de freelancers para se aproximar de vítimas legítimas e enviar anexos do Microsoft Excel com macros maliciosas — o vetor clássico de infecção via documento do Office, que continua eficaz porque explora a necessidade de freelancers abrirem anexos de clientes desconhecidos como parte normal do trabalho.
Uma vez executada a macro, os malwares TVRAT (também referido como TeamSPy/TVSPY) e DarkVNC instalavam-se na máquina da vítima, concedendo acesso remoto total via TeamViewer e VNC Viewer — ferramentas legítimas de suporte remoto reaproveitadas para fins maliciosos, o que dificulta a detecção por antivírus tradicionais, já que o tráfego se assemelha a uma sessão de suporte técnico comum. Com esse acesso, os operadores coletavam credenciais de contas de e-commerce e informações de identificação pessoal, dados enviados a servidores de comando e controle hospedados nos próprios EUA — uma escolha de infraestrutura que provavelmente visava reduzir a suspeita de tráfego internacional anômalo.
O objetivo final descrito pelas autoridades — roubo de credenciais de e-commerce e dados pessoais para uso posterior em fraude — mostra como campanhas de infecção em massa frequentemente não são o golpe final em si, mas a fase de coleta de matéria-prima (credenciais, PII) para fraudes subsequentes, como compras não autorizadas ou abertura de contas em nome da vítima. Para freelancers e pequenos negócios que recebem anexos de clientes desconhecidos com frequência, a prática recomendada é abrir arquivos do Office recebidos por plataformas de freelancer em ambiente isolado (viewer online, sandbox, ou máquina virtual sem acesso a dados sensíveis) e manter macros desabilitadas por padrão, já que esse tipo de campanha continua sendo, quase uma década depois, um dos vetores mais usados para comprometer profissionais autônomos em massa.