미국 법무부(DoJ)는 2016~2017년에 프리랜서 플랫폼 이용자 약 8만 명에게 악성 엑셀 파일을 보내 수천 대의 컴퓨터를 감염시킨 혐의로 러시아 국적자 악툴라예프(Aktulaev)를 기소했습니다. 그는 사이프러스에서 체포된 후 2026년 8월 미국으로 인도돼 샌프란시스코 연방법원에 출석했습니다. 공격에 사용된 악성코드는 TVRAT(원격 접속 트로이목마)와 DarkVNC(숨겨진 원격 제어 도구)로, 피해자 몰래 컴퓨터를 원격 제어하고 개인정보·계정 정보를 탈취하는 방식이었습니다. 마이크로소프트는 2022년부터 인터넷에서 받은 오피스 파일의 매크로를 기본 차단해 이 공격 방식을 봉쇄했지만, 프리랜서·구직 플랫폼을 미끼로 삼는 유사 수법은 북한 해커(Lazarus Group)와 러시아 연계 그룹(Sandworm) 등을 통해 현재도 계속되고 있습니다. 임직원이 프리랜서 플랫폼이나 구직 사이트에서 받은 파일을 열 때는 매크로 실행 요청에 각별히 주의해야 합니다.
러시아 국적자 악툴라예프가 가짜 계정 255개를 활용해 프리랜서 플랫폼 이용자 약 8만 명에게 악성 엑셀 파일을 발송, 매크로 실행을 유도해 TVRAT 및 DarkVNC 악성코드를 배포했다.
수천 대의 컴퓨터가 감염돼 원격 제어 당했으며, 피해자 수백 명의 전자상거래 로그인 정보와 개인식별정보(PII)가 유출됐다. 피해자의 약 절반이 미국 내에 위치했다.
엑셀 매크로를 통해 악성코드가 다운로드되는 방식이 사용됐다. TVRAT은 DLL 검색 순서 하이재킹(DLL search order hijacking)으로 TeamViewer를 위장했고, DarkVNC는 피해자 화면에 나타나지 않는 숨김 데스크톱을 생성해 원격 제어를 가능하게 했다.
미국 법무부가 2021년 기소장을 제출했고 사이프러스 당국의 협조로 피의자를 미국으로 인도했다. 마이크로소프트는 2022년부터 인터넷 출처 오피스 파일의 VBA 매크로를 기본 차단해 이 공격 경로를 차단했다.
구직·프리랜서 플랫폼을 미끼로 삼는 공격은 Lazarus Group, Sandworm 등 국가 연계 위협 행위자들도 현재 적극 활용 중이다. 외부 플랫폼을 통해 수신한 오피스 파일의 매크로 실행 요청은 절대 수락하지 않도록 임직원 교육이 필요하다.
본문
Swati Khandelwal · 2026년 9월 2일 · 악성코드 / 사이버범죄
미국 법무부(DoJ)는 사이프러스에서 인도된 러시아 국적자를 기소했다. 이 인물은 2016년과 2017년에 프리랜서 플랫폼에서 약 255개의 가짜 계정을 이용해 플랫폼 이용자 약 8만 명에게 악성코드가 삽입된 엑셀 첨부파일을 발송한 혐의를 받고 있다.
세아르주딘 타미를라노비치 악툴라예프(Searzhudin Tamirlanovich Aktulaev), 40세는 2025년 5월 사이프러스에서 체포됐으며, 미국 북부 캘리포니아 연방검찰청이 보도자료를 통해 이를 밝혔다. 그는 2026년 8월 31일 샌프란시스코 연방법원에 첫 출석해 연방 구금 상태가 됐다.
2021년 6월 1일 제출됐다가 출석 당일 공개된 기소장은 해당 플랫폼을 북부 캘리포니아 관할에 소재한 "잘 알려진 프리랜서 고용 기술 기업"으로만 표기했다.
기소장에 명시된 두 가지 악성코드 중 하나인 TVRAT에 감염된 수천 대의 컴퓨터가 미국 내에 호스팅된 명령·제어(C2) 도메인으로 신호를 보내고 있었으며, 피해자의 약 절반이 미국 내, 그 중 상당수가 해당 관할 지역에 있었다.
범행에 사용된 이메일 계정의 공유 문서에는 수백 명 피해자의 전자상거래 로그인 자격증명과 개인식별정보(PII)가 담겨 있었다.
악툴라예프는 전신 사기 공모, 보호 대상 컴퓨터에 손해를 입힐 프로그램·정보·코드·명령의 전송, 컴퓨터 사기 공모, 금전적 이익 및 가치 획득을 목적으로 한 보호 대상 컴퓨터 무단 접근, 가중 신원 도용 혐의로 기소됐다.
기소장에 따르면 2016년 6월경부터 2017년 11월까지 발송된 메시지에는 수신자에게 매크로 실행을 유도하는 엑셀 첨부파일이 포함됐으며, 매크로가 실행되면 인터넷에서 악성코드가 다운로드됐다.
사용된 악성코드는 두 종류였다:
- TVSPY 또는 TeamSpy로도 알려진 TeamViewer 원격 접속 트로이목마(RAT)인 TVRAT의 변종
- DarkVNC
두 악성코드 모두 운영자에게 감염된 컴퓨터에 대한 원격 제어 권한을 부여했다. DoJ는 두 악성코드가 탈취한 데이터를 C2 서버로 전송했으며, 악툴라예프와 공모자들이 이를 사기 또는 기타 범죄 행위에 활용했다고 밝혔다.
DoJ 보도자료는 TVRAT이 TeamViewer의 취약점을 악용한다고 명시했다. 러시아 보안 업체 Kaspersky도 2013년 3월 TeamSpy 보고서에서 악성 모듈이 "DLL 하이재킹(Dll-hijacking)으로 알려진 TeamViewer v6의 취약점을 이용한다"고 동일하게 기술했다.
TeamViewer 대변인은 2017년 2월 Security Affairs에 "자사 소프트웨어의 취약점이 있다고 볼 근거가 없다"고 밝혔다.
2017년 4월 엑셀 매크로로 배포된 TeamSpy 샘플을 분석한 Avast는 매크로가 암호로 보호된 설치 파일을 내려받으며, 해당 파일 안에 합법적이고 디지털 서명된 TeamViewer 바이너리와 악성 msimg32.dll이 함께 묶여 있다고 밝혔다.
이 라이브러리는 DLL 검색 순서 하이재킹(DLL search order hijacking)을 통해 정상 Windows 동적 연결 라이브러리(DLL) 대신 로드된다. Avast는 이를 "영리한 기법"이라고 평가했는데, 메인 실행 파일의 서명을 검사해도 의심스러운 점이 나타나지 않기 때문이다.
라이브러리가 로드되면 거의 50개에 달하는 Windows 애플리케이션 프로그래밍 인터페이스(API)를 후킹해 TeamViewer 창과 대화상자가 피해자에게 표시되지 않도록 한다. 이후 감염된 컴퓨터가 C2 서버에 자신의 TeamViewer ID를 보고하면, 운영자는 그 ID와 미리 설정된 비밀번호만으로 컴퓨터에 원격 접속할 수 있다고 Avast는 설명했다.
DarkVNC는 숨김 가상 네트워크 컴퓨팅(hVNC) 유틸리티로, eSentire가 2024년 2월 분석 보고서를 통해 밝힌 바에 따르면 2016년 11월 24일 Exploit 포럼에서 처음 광고됐다.
이 도구는 감염된 컴퓨터에 운영자가 제어할 수 있는 숨겨진 데스크톱을 생성한다. 마이크로소프트는 2022년부터 Windows 장치에서 인터넷을 통해 받은 Office 파일의 VBA(Visual Basic for Applications) 매크로를 기본적으로 차단했으며, 이 캠페인은 바로 해당 단계에 의존하고 있었다.
악툴라예프는 무죄를 주장하며 미국의 기소 사실을 몰랐다고 밝혔다. 이는 올해 초 RIA Novosti와 TASS가 보도한 니코시아 주재 러시아 대사관의 성명에 따른 것이다.
DoJ는 기소장이 혐의 내용만을 담은 것이며, 악툴라예프는 유죄가 입증되기 전까지 무죄로 추정된다고 밝혔다.
이번 사건은 구직 및 프리랜서 플랫폼이 국가 지원 위협 행위자들의 반복적인 미끼로 활용되는 가운데 발생했다. ESET은 2025년 2월 북한 해커들이 소프트웨어 개발자를 대상으로 동일한 프리랜서 플랫폼 lure를 사용하고 있다고 밝혔다.
지난달에는 Check Point Research가 가짜 채용 담당자를 이용한 캠페인을 문서화했는데, Lazarus Group이 허위 채용 제안과 함께 원격 접속 백도어를 배포했다고 밝혔다. 또한 우크라이나 컴퓨터 비상대응팀(CERT-UA)은 Sandworm과 연계된 그룹이 구직 사이트 채팅을 통해 후보자에게 접근한 뒤, 명령을 실행할 수 있는 가상 사설 네트워크(VPN) 클라이언트를 유포했다고 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
