Un ciudadano ruso ha sido procesado en Estados Unidos por dirigir una presunta operación de malware que afectó a unos 80.000 trabajadores freelance en todo el mundo. Según los fiscales, la campaña empleaba cuentas falsas y documentos de Excel trampa para convertir mensajes de trabajo comunes en una vía para robar datos y tomar el control de los ordenadores.

Un ciudadano ruso ha sido procesado en los Estados Unidos por una presunta operación de malware que tuvo como objetivo a aproximadamente 80.000 trabajadores autónomos en todo el mundo.

Los fiscales afirman que la campaña utilizó cuentas falsas y documentos de Excel con trampas para convertir mensajes de trabajo ordinarios en una vía para robar datos y tomar el control de ordenadores.

El caso resalta cómo los archivos de oficina comunes aún pueden usarse para llegar a grandes grupos de trabajadores independientes, quienes a menudo reciben archivos de proyectos de personas que no conocen.

Entre junio de 2016 y noviembre de 2017, la presunta operación envió mensajes desde unas 255 cuentas fraudulentas en una plataforma de empleo autónomo en línea.

Analistas de la Fiscalía de los Estados Unidos, Distrito Norte de California, señalaron que cada archivo adjunto malicioso de Excel pedía al destinatario que habilitara una macro.

Dicha acción presuntamente descargaba malware de internet, demostrando cómo un simple aviso puede cerrar la brecha entre un mensaje convincente y un compromiso grave del ordenador.

La Fiscalía de los Estados Unidos, Distrito Norte de California, afirmó en un informe que la presunta campaña se basó en TVRAT y DarkVNC, dos herramientas que daban a los operadores una vía para ver y controlar dispositivos infectados a distancia.

La información robada se enviaba a servidores de comando y control y, según alegan los fiscales, fue utilizada posteriormente para fraudes y otras actividades delictivas.

Ruso procesado por usar malware de Excel

Un gran jurado federal procesó a Searzhudin Tamirlanovich Aktulaev, de 40 años, por cargos que incluyen conspiración, daños a ordenadores protegidos y robo agravado de identidad.

Las autoridades dijeron que fue arrestado en Chipre en mayo de 2025, extraditado a los Estados Unidos y realizó su primera comparecencia ante el tribunal de San Francisco el 31 de agosto.

Según la acusación, TVRAT también es conocido como TVSPY o TeamSpy y presuntamente abusó de una debilidad asociada con TeamViewer para obtener el control remoto.

Si estás siguiendo el riesgo general relacionado con el software de control remoto, puedes ver cómo los atacantes abusan del acceso a TeamViewer en otras intrusiones, aunque este caso se refiere a alegaciones vinculadas a la campaña anterior de TVRAT.

DarkVNC presuntamente ofrecía una capacidad de control remoto similar a través de VNC Viewer. La lección práctica no es que cada sesión de soporte remoto sea insegura, sino que las solicitudes inesperadas para abrir archivos o permitir el acceso merecen un escrutinio cercano.

Esto sigue siendo especialmente importante ya que los nuevos fallos de código de TeamViewer pueden crear exposiciones de seguridad independientes que las organizaciones deben parchear rápidamente.

Víctimas, datos robados y defensa

Los fiscales dijeron que miles de ordenadores infectados contactaron con un dominio de comando y control alojado en EE. UU., cuyo registro fue pagado con moneda virtual.

Aproximadamente la mitad de las presuntas víctimas se encontraban en los Estados Unidos, incluyendo a muchos en el norte de California. Una base de datos recuperada de esa infraestructura enumeraba presuntamente a miles de víctimas, subrayando el alcance de la campaña.

Los investigadores también encontraron un documento compartido en una cuenta de correo electrónico presuntamente utilizada en la actividad. Este contenía credenciales de inicio de sesión de comercio electrónico e información personal perteneciente a cientos de víctimas.

Ganchos similares siguen siendo efectivos porque los archivos parecen rutinarios, como ha demostrado la información sobre ataques con archivos de hojas de cálculo convertidos en armas en campañas posteriores.

Para ti, si eres autónomo o trabajas en una organización, la salvaguarda más clara es tratar las hojas de cálculo no solicitadas con precaución y nunca habilitar macros simplemente porque un mensaje parezca estar relacionado con el trabajo.

Verifica cualquier archivo inesperado a través de un canal de confianza independiente, limita o bloquea las macros procedentes de internet siempre que sea posible, mantén actualizado el software de acceso remoto y vigila las conexiones salientes inusuales. Estos hábitos también te ayudan contra las tácticas de entrega de adjuntos de phishing que disfrazan el malware como documentos ordinarios.

Las autoridades dijeron que la investigación contó con la participación del Buró Federal de Investigaciones (FBI), mientras que la Oficina de Asuntos Internacionales del Departamento de Justicia aseguró su extradición el 28 de agosto de 2026.

El procesamiento está a cargo de la Sección de Seguridad Nacional, Ciberseguridad y Procesamientos Especiales. El documento de acusación no identifica la plataforma de autónomos ni publica dominios maliciosos específicos, hashes de archivos o nombres de archivos adjuntos.

Aktulaev permanece bajo custodia federal y tiene programada una conferencia de estado para el 5 de octubre de 2026. Los cargos son alegaciones y se presume que es inocente a menos que se demuestre lo contrario. De ser condenado, se enfrenta a penas que incluyen términos de prisión y multas por los delitos imputados.