ロシア国籍の男が、フリーランス求人プラットフォーム上に開設した255件の偽アカウントを使い、約8万人のユーザーに不正なMicrosoft Excelファイルを配布したとされるフィッシング作戦に関する容疑で、米国に身柄を引き渡されました。
連邦検察当局によると、Searzhudin Tamirlanovich Aktulaev容疑者(40)は2016年6月から2017年11月にかけてこのキャンペーンを首謀し、同プラットフォームの内部メッセージ機能を使って多数のフリーランサーにアクセスしていたとされています。
2021年6月に起訴され、Aktulaev容疑者の出廷を受けて最近公開されたこの起訴状には、武器化されたExcel添付ファイル、ソーシャルエンジニアリング、リモートアクセス型マルウェア、認証情報の窃取、C2(コマンド&コントロール)インフラを組み合わせた作戦の詳細が記されています。
受信者が埋め込まれたマクロを実行すると、被害者のシステムにインターネット経由でマルウェアがダウンロードされる仕組みでした。
今回の容疑は、正規のオンラインマーケットプレイスが信頼された初期侵入経路として悪用されうることを示しています。
フリーランサーは通常、見込み客とプロジェクトファイルや請求書、要件定義書、ポートフォリオ、スプレッドシートなどをやり取りするため、Excel添付ファイルは特に効果的な釣り餌となります。
攻撃者らは従来型のメールフィッシングに頼るのではなく、確立された求人プラットフォームのメッセージ機能を利用することで、ファイルの信頼性を高めていたとみられています。
この活動が行われていた当時、VBAマクロを有効化させるドキュメントは依然としてマルウェア配布に広く悪用される手法でした。Microsoftはその後、インターネットからダウンロードされたOfficeファイルのマクロに対するデフォルトの保護を強化しています。
しかし脅威アクターは、代替の添付ファイル形式やクラウドホスト型ペイロード、HTMLスマグリング、パスワード保護されたアーカイブ、ソーシャルエンジニアリングを駆使したプロンプトなどを使い、セキュリティ対策を回避する手口を進化させ続けています。
セキュリティ意識向上トレーニング
起訴状では、不正なスプレッドシートを通じて展開されたとされる2種類のマルウェアファミリー、TVRATとDarkVNCが特定されています。
TVRATはTVSPYまたはTeamSpyとしても知られ、検察当局によればTeamViewerを狙うリモートアクセス型トロイの木馬で、このリモート管理ソフトウェアに関連する脆弱性を悪用して感染システムを遠隔操作できるようにするものです。
もう一つのペイロードであるDarkVNCは、VNC Viewerを通じて同様のリモートアクセス機能を提供していたとされています。いずれのツールも、攻撃者が侵害デバイスにアクセスし、被害者のデータをC2サーバーへ流出させることを可能にするものでした。
この組み合わせが技術的に注目される点は、認証情報の窃取と対話型のリモート管理を一体化させていることです。
デバイスが一度侵害されると、攻撃者はブラウザデータや認証情報、保存済みパスワード、決済情報、ローカルファイル、業務上のやり取りなどを収集できる可能性があります。
米司法省によれば、約255件の不正アカウントから送信されたメッセージには、受信者にマクロを有効化させることを狙ったMicrosoft Excel添付ファイルが含まれていました。
リモート制御によるアクセスは、被害者のシステムから直接後続の詐欺行為を実行するためにも利用でき、銀行やeコマースプラットフォームなど他のオンラインサービスに対して不審な挙動と見なされにくくする効果もあります。
Excelマルウェアキャンペーン
捜査当局によると、いずれのマルウェア株も窃取したデータをC2インフラに送信し、その情報は詐欺やその他の犯罪活動のために収集されていたとされています。
検察当局はさらに、C2通信に使用されたドメインは仮想通貨で購入されていたと主張しています。
TVRATに感染した数千台のデバイスが、米国内にホストされたC2ドメインに接続していたと報告されています。
このインフラから回収されたデータベースには、数千人の被害者に関連する記録が含まれていたとされています。
起訴状によれば、影響を受けたユーザーの約半数は米国内に所在し、その多くがカリフォルニア北部地区に居住していました。
当局はまた、この作戦に使用されたとみられるメールアカウント内で、eコマースの認証情報や数百人の被害者の個人識別情報を含む共有ドキュメントも発見しています。
今回のキャンペーンの規模は、独立して働く労働者が直面するID関連セキュリティのリスクの大きさを浮き彫りにしています。
フリーランサーは企業の集中管理型セキュリティ対策の枠外で活動することが多く、個人所有の端末を使用し、複数のクライアントアカウントやクラウドサービス、決済プラットフォーム、業務用アイデンティティを1台のマシンで管理していることも少なくありません。
セキュリティ意識向上トレーニング
そのため、一度侵害が起きると本人だけでなくそのクライアントにも被害が及ぶ可能性があります。
米司法省によると、Aktulaev容疑者は2025年5月にキプロスで逮捕され、2026年8月28日に米国へ身柄を引き渡されました。
同容疑者はサンフランシスコの連邦裁判所に初出廷し、連邦拘置施設に収監されました。次回の状況確認審理は2026年10月5日、Donato連邦地裁判事のもとで予定されています。
同容疑者には、電信詐欺共謀罪、コンピュータ損壊罪、コンピュータ詐欺共謀罪、保護対象コンピュータへの不正アクセス罪、加重ID窃盗罪などの罪状がかけられています。
有罪判決が下された場合、電信詐欺共謀罪の1件だけで最大20年の禁錮刑を含む、相当な禁錮刑と罰金が科される可能性があります。
本件はFBIが捜査を行い、国家安全保障・サイバー・特別訴追部門が起訴を担当しています。
すべての刑事起訴と同様、これらの容疑は法廷で有罪が証明されるまでは立証されておらず、Aktulaev容疑者は無罪と推定されます。
★ 7段階のメトリクスゲート型AI SOC導入フェーズを学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード
翻訳元: https://gbhackers.com/excel-malware-campaign/
