あるロシア人男性が、2016年から2017年にかけてフリーランス求人プラットフォームの利用者約8万人にマルウェアを拡散する手助けをしたとされる容疑で、米国に身柄を引き渡されました。
米司法省(DoJ)によると、Searzhudin Tamirlanovich Aktulaev容疑者(40歳)は2025年5月にキプロスで逮捕され、2026年8月28日に身柄を引き渡されました。同容疑者は8月31日にサンフランシスコの連邦裁判所に初出頭し、連邦拘置施設に収監されています。
DoJは発表の中で、連邦大陪審がAktulaev容疑者を共謀、コンピュータ損壊、不正アクセス、加重身分盗用などの罪で起訴したことを明らかにしました。
フリーランスプラットフォームを悪用したマルウェア拡散
起訴状によると、Aktulaev容疑者と共謀者とされる人物らは、少なくとも2016年6月から2017年11月にかけて、北カリフォルニア地区にある大手フリーランス求人企業のメッセージングプラットフォーム上で約255個の偽アカウントを使い、悪意あるMicrosoft Excel添付ファイルを送信していました。
受信者が添付ファイルを開くとマクロの実行を促され、それを実行するとインターネット経由でマルウェアがダウンロードされる仕組みになっていました。
この攻撃キャンペーンでは2種類のマルウェアファミリーが使用されたとされています。TVSPYまたはTeamSpyとしても知られるTeamViewer Remote Access Trojan(TVRAT)の亜種は、TeamViewerの脆弱性を悪用して感染したコンピュータを遠隔操作できるようにするもので、DarkVNCはVNC Viewerを通じて同様の機能を持っていました。
これら2つのリモートアクセス型トロイの木馬は、いずれも窃取したデータをC2(コマンド&コントロール)サーバーへ送信しており、検察側はこのデータが詐欺やその他の犯罪行為に収集・利用されていたと主張しています。
求人詐欺に関する関連記事: 北朝鮮の偽IT労働者、GitHubを悪用して求職者になりすまし
起訴状によれば、C2ドメインの取得費用は仮想通貨で支払われており、TVRATに感染した数千台のコンピュータが米国内にホストされたC2ドメインに通信を行っていたとされています。
指令インフラに紐づく数千人の被害者
検察側によると、被害者の約半数は米国内におり、そのうち多くが北カリフォルニア地区に集中していました。
C2ドメイン上で発見されたデータベースからは、数千人の被害者情報が明らかになりました。また、今回の不正行為に使用されたとされるメールアカウント上の共有ドキュメントには、さらに数百人分のeコマースログイン認証情報や個人を特定できる情報(PII)が含まれていました。
有罪が確定した場合、Aktulaev容疑者には電信詐欺共謀罪で最大20年、保護対象コンピュータの損壊を目的としたコード送信罪で10年、さらに加重身分盗用の各訴因につき連続2年の禁錮刑に加え、25万ドルまたは総利得の2倍に相当する罰金が科される可能性があります。
連邦捜査局(FBI)が捜査を主導し、DoJの国際問題局が身柄引き渡しの実現に尽力しました。Aktulaev容疑者は現在も連邦拘置施設に収監されており、10月5日に状況確認審理に出廷する予定です。
起訴はあくまで犯罪行為の疑いを示すものに過ぎず、Aktulaev容疑者は合理的な疑いを超えて有罪が証明されるまでは無罪と推定されます。
翻訳元: https://www.infosecurity-magazine.com/news/russian-man-extradited-malware/
