AS Tuntut Warga Rusia yang Diduga Menginfeksi 80.000 Freelancer dengan Malware
Jaksa federal Amerika Serikat mendakwa seorang warga negara Rusia atas dugaan keterlibatannya dalam kampanye phishing yang menginfeksi ribuan pekerja lepas atau freelancer dengan malware TVRAT dan DarkVNC.
Terdakwa bernama Searzhudin Tamirlanovich Aktulaev, 40 tahun, dan telah diekstradisi ke Amerika Serikat setelah ditangkap di Bandara Larnaca, Siprus, pada Mei 2025.
Dakwaan tersebut berasal dari dokumen pengadilan yang diajukan pada Juni 2021 dan baru dibuka untuk publik pada pekan ini. Aktulaev diduga mengeksploitasi platform pesan milik sebuah perusahaan teknologi pencari kerja freelance yang tidak disebutkan namanya dalam serangan phishing.
Kirim File Excel Berbahaya ke 80.000 Freelancer
Menurut dokumen pengadilan, aktivitas tersebut berlangsung antara Juni 2016 hingga November 2017.
Dalam menjalankan kampanye phishing, Aktulaev diduga menggunakan 255 akun pengguna palsu untuk mengirimkan lampiran Microsoft Excel kepada sekitar 80.000 freelancer.
File tersebut berisi macro berbahaya yang dirancang untuk mengunduh malware dari internet ke komputer korban.
Metode tersebut memanfaatkan komunikasi yang terjadi di dalam platform pekerjaan freelance, sehingga lampiran berbahaya dapat dikirimkan langsung kepada pengguna yang menjadi target.
Dari sekitar 80.000 freelancer yang menjadi sasaran pengiriman, penyidik menemukan bahwa sekitar setengah korban yang terinfeksi berada di Amerika Serikat, termasuk banyak korban di Northern District of California.
TVRAT dan DarkVNC Memberikan Akses Jarak Jauh
Aktulaev diduga menggunakan dua jenis malware dalam serangan tersebut, yaitu TVRAT dan DarkVNC.
TVRAT juga dikenal dengan nama TeamSPy dan TVSPY. Malware tersebut memungkinkan pelaku memperoleh akses terhadap sistem korban dan mengambil data dari komputer yang terinfeksi.
Sementara itu, DarkVNC memberikan kemampuan kendali jarak jauh melalui VNC Viewer.
Dengan kombinasi tersebut, perangkat korban tidak hanya menjadi sumber informasi, tetapi juga dapat dikendalikan dari jarak jauh menggunakan perangkat lunak remote administration yang relevan.
Kedua malware tersebut juga mengirimkan data yang dicuri dari komputer korban ke command-and-control (C2) server. Data tersebut kemudian dikumpulkan dan diduga digunakan Aktulaev bersama rekan-rekannya untuk melakukan penipuan atau aktivitas kriminal lainnya.
Kredensial E-Commerce dan Data Pribadi Ikut Dicuri
Selain mengendalikan perangkat korban, serangan tersebut juga digunakan untuk mencuri kredensial login e-commerce dan personally identifiable information (PII).
Infrastruktur C2 yang digunakan dalam operasi tersebut juga memiliki karakteristik tertentu. Domain-domain C2 disebut dibayar menggunakan virtual currency, sementara ribuan komputer yang terinfeksi TVRAT ditemukan melakukan koneksi balik ke salah satu domain C2 yang di-host di Amerika Serikat.
Keberadaan server C2 di Amerika Serikat menjadi salah satu bagian yang ditemukan dalam penyelidikan terhadap aktivitas tersebut.
Aktulaev Diekstradisi dari Siprus
Aktulaev ditangkap di Bandara Larnaca, Siprus, pada Mei 2025 sebelum akhirnya diekstradisi ke Amerika Serikat.
Kini ia berada dalam tahanan federal Amerika Serikat dan dijadwalkan menghadiri persidangan di hadapan U.S. District Judge Donato pada 5 Oktober 2026.
Dakwaan tersebut merupakan tuduhan terhadap Aktulaev dan belum merupakan putusan bersalah. Proses hukum selanjutnya akan menentukan pertanggungjawaban pidananya berdasarkan bukti yang diajukan di pengadilan.
Kampanye Phishing Menargetkan Pengguna Platform Freelance
Kasus ini menunjukkan bagaimana platform pekerjaan online dapat dimanfaatkan sebagai jalur distribusi malware.
Alih-alih mengandalkan email phishing tradisional, pelaku diduga menggunakan sistem pesan internal sebuah platform freelance untuk mengirimkan file berbahaya kepada calon korban.
Penggunaan 255 akun palsu memungkinkan kampanye tersebut menjangkau puluhan ribu pengguna dalam periode lebih dari satu tahun.
File Excel dengan macro berbahaya kemudian menjadi tahap awal untuk memasang TVRAT maupun DarkVNC pada sistem korban.
Dengan malware yang memberikan akses jarak jauh serta kemampuan mencuri data, serangan tersebut berpotensi memberikan kendali dan akses informasi yang jauh lebih luas dibandingkan sekadar pencurian kredensial.
AS Terus Menindak Infrastruktur Kejahatan Siber
Kasus Aktulaev muncul di tengah meningkatnya operasi internasional Amerika Serikat dan negara lain terhadap kelompok serta infrastruktur cybercrime.
Pada awal pekan ini, Departemen Kehakiman AS bersama FBI dan mitra penegak hukum internasional juga mengumumkan operasi untuk mengganggu infrastruktur Sality, botnet yang telah beroperasi selama lebih dari dua dekade.
Dalam operasi tersebut, domain yang terkait dengan Sality disita di Amerika Serikat dan Eropa, sementara mitra industri melakukan sinkholing terhadap jaringan P2P botnet.
Kasus-kasus tersebut memperlihatkan bahwa penegak hukum semakin mengandalkan kerja sama lintas negara dan kemitraan dengan perusahaan keamanan siber untuk membongkar operasi malware serta infrastruktur yang digunakan pelaku.
Sumber: U.S. Department of Justice
