Americké ministerstvo spravedlnosti obvinilo čtyřicetiletého ruského občana Searzhudina Tamirlanoviche Aktulaeva z rozsáhlé kampaně, při které měl prostřednictvím interní komunikace freelance platformy distribuovat malware TVRAT a DarkVNC. Škodlivé zprávy byly podle obžaloby rozesílány z přibližně 255 falešných účtů a mohly zasáhnout kolem 80 000 freelancerů. Aktulaev byl v srpnu 2026 vydán z Kypru do Spojených států.
DarkVNC malware se dostal k uživatelům přes pracovní komunikaci
Podle amerického ministerstva spravedlnosti měl Aktulaev společně s dalšími osobami zneužít interní komunikační platformu společnosti poskytující služby pro freelancery.
Kampaň měla probíhat nejméně od června 2016 do listopadu 2017. Útočníci využívali přibližně 255 falešných uživatelských účtů, jejichž prostřednictvím posílali freelancerům zprávy s přílohami Microsoft Excel.
Příloha obsahovala škodlivé makro. Po otevření dokumentu byl uživatel vyzván k jeho spuštění a makro následně stáhlo další malware z internetu.
Podle amerických vyšetřovatelů byly škodlivé zprávy odeslány přibližně 80 000 uživatelům. To ale neznamená, že všech 80 000 počítačů bylo skutečně kompromitováno.
Právě způsob distribuce je na celé kampani zajímavý. Útočníci nemuseli spoléhat na klasický phishingový e-mail z neznámé adresy. Využili prostředí, kde uživatelé přirozeně očekávali komunikaci s potenciálními klienty.
DarkVNC malware umožňoval vzdálené ovládání počítače
Obžaloba spojuje kampaň se dvěma typy malwaru – TVRAT, známým také jako TVSPY nebo TeamSpy, a DarkVNC malware.
TVRAT využívá legitimní nástroj TeamViewer jako prostředek pro vzdálený přístup. Podle DoJ malware zneužíval zranitelnost v TeamVieweru a umožňoval útočníkům vzdáleně ovládat napadený počítač.
DarkVNC malware funguje na podobném principu, ale využívá technologii VNC. Jde o takzvaný hidden VNC, tedy způsob vzdáleného přístupu, který může běžet skrytě před uživatelem.
Technická analýza společnosti eSentire ukazuje, že DarkVNC dokázal vytvořit skrytou pracovní plochu, ke které se mohl vzdálený operátor připojit. Malware obsahoval také funkce pro práci s klávesnicí a myší, ovládání monitoru a další operace na kompromitovaném systému.
Nešlo tedy pouze o klasický infostealer, který data ukradne a skončí. DarkVNC malware mohl útočníkovi poskytnout v podstatě vzdálenou pracovní stanici.
Jak DarkVNC malware komunikoval s útočníky
TVRAT i DarkVNC podle obžaloby odesílaly ukradená data na command-and-control (C2) servery. Získané informace měly být následně využívány Aktulaevem a jeho spolupracovníky k podvodům nebo jiné trestné činnosti.
Vyšetřovatelé zjistili, že C2 infrastruktura byla placena prostřednictvím kryptoměny. Tisíce počítačů infikovaných TVRAT se podle obžaloby připojovaly k C2 doméně hostované ve Spojených státech.
Přibližně polovina obětí měla být v USA, přičemž řada z nich se nacházela přímo v oblasti severní Kalifornie.
Na C2 infrastruktuře byla nalezena databáze obsahující informace o tisících obětí. V e-mailovém účtu používaném při trestné činnosti byl navíc objeven sdílený dokument s údaji včetně přihlašovacích údajů k e-commerce službám a osobních údajů stovek obětí.
DarkVNC malware není nová hrozba
DarkVNC malware přitom není nová hrozba. Podle analýzy eSentire byl tento malware poprvé nabízen na kyberkriminálním fóru Exploit už v listopadu 2016 a aktivně se vyvíjel minimálně v letech 2016 a 2017.
Technická analýza ukazuje například používání XOR pro jednoduché šifrování řetězců, generování identifikátoru systému a komunikaci s C2 serverem.
DarkVNC si z napadeného systému zjišťoval například název počítače, uživatelské jméno a informace o svazku.
Výzkum SANS zároveň upozorňuje, že označení DarkVNC není vždy jednoznačné. Podobné VNC komponenty se objevovaly také v infekcích spojených s dalšími rodinami malwaru a samotné síťové vzory nemusí vždy znamenat použití stejného nástroje.
Ruský hacker byl vydán z Kypru
Aktulaev byl zadržen na Kypru v květnu 2025. Americké ministerstvo spravedlnosti následně prostřednictvím svého Office of International Affairs zajistilo jeho vydání do Spojených států. Extradice byla dokončena 28. srpna 2026.
Dne 31. srpna 2026 se Aktulaev poprvé objevil před federálním soudem v San Franciscu a byl vzat do federální vazby.
Další status conference je naplánována na 5. října 2026 před americkým okresním soudcem Donatem.
Případ vyšetřuje FBI a žalobu vede National Security, Cyber, and Special Prosecutions Section.
Jaký trest mu za DarkVNC malware hrozí?
Aktulaev čelí několika bodům obžaloby včetně spiknutí za účelem podvodu prostřednictvím elektronické komunikace, způsobení škody chráněným počítačům, počítačového podvodu, neoprávněného přístupu k počítačům a aggravated identity theft.
Za spiknutí za účelem wire fraud hrozí v případě odsouzení až 20 let vězení a pokuta až 250 000 dolarů nebo dvojnásobek hrubého zisku.
Další obvinění mohou znamenat až 10 nebo 5 let vězení podle konkrétního bodu. U aggravated identity theft jde o další dva roky za každý příslušný bod, které mají být podle amerického práva vykonány po sobě.
Je ale důležité dodat, že jde o obžalobu, nikoli pravomocný rozsudek. Aktulaev je podle amerického práva považován za nevinného, dokud jeho vina nebude prokázána.
Co nám případ DarkVNC malware ukazuje?
Technologie použitá v této kampani je téměř deset let stará. Princip útoku ale nezestárl.
Útočníci spojili důvěryhodné prostředí, falešné identity, pracovní komunikaci a legitimní nástroje pro vzdálenou správu. Výsledkem nebylo pouze stažení škodlivého souboru, ale potenciálně plnohodnotné vzdálené ovládnutí počítače.
Z dnešního pohledu je zajímavé také používání maker v dokumentech Office. Microsoft od roku 2022 ve Windows standardně blokuje VBA makra v souborech pocházejících z internetu, takže stejný distribuční mechanismus je dnes výrazně obtížnější použít proti aktuálně podporovaným systémům.
Případ DarkVNC malware tak připomíná jednu základní věc: největším problémem nemusí být samotný malware, ale způsob, jakým se útočník dostane do prostředí, kterému uživatel důvěřuje.
A právě pracovní platformy, freelance služby a komunikace kolem pracovních nabídek mohou být pro podobné útoky atraktivním prostředím i dnes.
Zdroje
- U.S. Department of Justice – Russian National Indicted For Exploiting Online Platform Used For Freelance Employment And Distributing Malware
- BleepingComputer – US charges Russian for infecting 80,000 freelancers with malware
- eSentire – Technical Analysis of DarkVNC
- SANS Internet Storm Center – DarkVNC / VNC malware analysisThe Hacker News – Extradited Russian Hacker Faces Charges Over Excel Malware Campaign
