Die Anklagepunkte reichen von Verschwörung zum Überweisungsbetrug über das Übermitteln von Programmen, Informationen, Code oder Befehlen zur Schädigung geschützter Computer bis hin zu Verschwörung zum Computerbetrug, unbefugtem Zugriff auf einen geschützten Computer zur Erlangung von Informationen mit Bereicherungsabsicht sowie schwerem Identitätsdiebstahl.
Nach Darstellung der Anklageschrift verschickten die Beschuldigten von mindestens Juni 2016 bis November 2017 Nachrichten mit Excel-Anhängen, die die Empfänger zum Ausführen eines Makros aufforderten. Das Makro lud anschließend Schadsoftware aus dem Internet nach. Genannt werden zwei Malware-Typen; beide sandten gestohlene Daten an den C2-Server, wo Aktulaev und seine Mittäter sie laut Justizministerium für Betrug oder andere Straftaten einsammelten und verwerteten.
Zu TVRAT schreibt das Justizministerium, die Schadsoftware nutze eine Schwachstelle in TeamViewer aus. Denselben Begriff verwendete der russische Sicherheitsanbieter Kaspersky bereits in seinem Bericht zu TeamSpy vom März 2013: Das schädliche Modul nutze “eine als DLL-Hijacking bekannte Schwachstelle in TeamViewer v6”. Ein TeamViewer-Sprecher erklärte hingegen im Februar 2017 gegenüber Security Affairs: “Wir haben keine Anhaltspunkte dafür, eine Schwachstelle unserer Software anzunehmen.”
Avast analysierte im April 2017 ein über Excel-Makros verbreitetes TeamSpy-Sample. Demnach holte das Makro einen passwortgeschützten Installer, der legitime, digital signierte TeamViewer-Binärdateien mit einer bösartigen msimg32.dll bündelt. Die Bibliothek wird per DLL-Suchreihenfolgen-Hijacking anstelle der echten Windows-DLL geladen — für Avast eine “raffinierte Technik”, weil eine Prüfung der Signatur der Hauptanwendung nichts Verdächtiges zutage fördert.
Ist die Bibliothek geladen, klinkt sie sich in knapp 50 Windows-APIs ein, damit das TeamViewer-Fenster und dessen Dialoge dem Opfer verborgen bleiben. Der infizierte Rechner meldet seine TeamViewer-ID an einen C2-Server; diese ID genügt zusammen mit einem voreingestellten Passwort, um sich aus der Ferne mit dem Computer zu verbinden, so Avast.
Bei DarkVNC handelt es sich um ein hVNC-Werkzeug (hidden virtual network computing), das laut einer Analyse von eSentire aus dem Februar 2024 erstmals am 24. November 2016 im Exploit-Forum beworben wurde. Es erzeugt auf dem infizierten Rechner einen verborgenen Desktop, den der Angreifer steuern kann. Den Auslieferungsweg der Kampagne hat Microsoft inzwischen erschwert: Seit 2022 blockiert der Konzern VBA-Makros in aus dem Internet bezogenen Office-Dateien auf Windows-Geräten standardmäßig.
Aktulaev bestreitet die Vorwürfe und gab an, von den US-Anklagen nichts gewusst zu haben — so Mitteilungen der russischen Botschaft in Nikosia, über die RIA Nowosti und TASS in diesem Jahr berichteten. Das Justizministerium betont, die Anklageschrift enthalte lediglich Vorwürfe; Aktulaev gelte als unschuldig, solange seine Schuld nicht bewiesen sei.
Job- und Freelancer-Portale bleiben ein beliebter Köder auch für staatlich unterstützte Akteure: ESET berichtete im Februar 2025, dass nordkoreanische Angreifer denselben Freelancer-Plattform-Köder gegen Softwareentwickler einsetzten. Kürzlich dokumentierte Check Point Research eine Welle der Lazarus Group, die gefälschte Stellenangebote mit einer Fernzugriffs-Hintertür kombinierte; CERT-UA beschrieb ein Sandworm-nahes Cluster, das Bewerber über den Chat einer Jobbörse kontaktierte und ihnen einen VPN-Client unterschob, der Befehle ausführen kann.