Die Anklage beschreibt eine über eineinhalb Jahre laufende Kampagne, die gezielt die Nutzer einer Freelancer-Plattform ins Visier nahm. Statt klassischer E-Mail-Phishing-Wellen setzte der Beschuldigte laut Anklageschrift auf das interne Nachrichtensystem der Plattform: Über 255 gefälschte Nutzerkonten versandte er Excel-Dateien, deren Makros beim Öffnen Schadsoftware aus dem Netz nachluden.
Zum Einsatz kamen dabei zwei Werkzeuge. TVRAT, auch unter den Namen TeamSPy und TVSPY bekannt, verschaffte dem Angreifer die Fernsteuerung der befallenen Systeme über das Fernwartungswerkzeug TeamViewer. DarkVNC erfüllte denselben Zweck über VNC Viewer. Beide Programme leiteten gestohlene Daten an einen Command-and-Control-Server weiter.
“Sowohl TVRAT als auch DarkVNC übermittelten gestohlene Daten vom Rechner eines Opfers an einen Command-and-Control-Server, von dem aus die Daten eingesammelt und von Aktulaev und seinen Mitverschwörern für Betrug oder andere kriminelle Aktivitäten genutzt wurden”, erklärte das US-Justizministerium.
Die Ermittler heben in diesem Zusammenhang die Infrastruktur hervor: “Die Command-and-Control-Domains wurden mit virtueller Währung bezahlt, und tausende mit TVRAT infizierte Rechner riefen bei einer in den Vereinigten Staaten gehosteten Command-and-Control-Domain zurück.” Genau dieser US-Bezug dürfte für die Zuständigkeit der kalifornischen Bundesjustiz eine Rolle spielen.
Neben der Fernsteuerung der Geräte soll der Beschuldigte auch Zugangsdaten für E-Commerce-Konten sowie personenbezogene Daten seiner Opfer entwendet haben. Den Ermittlungen zufolge befand sich die Hälfte aller Infizierten in den Vereinigten Staaten, viele davon im Northern District of California — dem Gerichtsbezirk, in dem nun auch das Verfahren geführt wird.
Die Festnahme erfolgte bereits im Mai 2025 am Flughafen Larnaka auf Zypern, gefolgt von der Auslieferung in die USA. Die zugrunde liegende Anklageschrift stammt aus dem Juni 2021 und blieb bis zu ihrer Entsiegelung in dieser Woche unter Verschluss — ein in solchen Verfahren übliches Vorgehen, um die Festnahme nicht zu gefährden.
Parallel dazu gab das US-Justizministerium am Montag bekannt, dass es gemeinsam mit internationalen Strafverfolgungsbehörden und privaten Partnern an der Zerschlagung der Infrastruktur des mit Russland in Verbindung gebrachten Sality-Botnets arbeitet.