미국 캘리포니아 연방 대배심이 러시아 국적자 세아르주딘 아크툴라예프(40세)를 악성코드 유포 혐의로 기소했습니다. 그는 2016년부터 2017년까지 프리랜서 고용 플랫폼을 악용해 가짜 계정 255개로 악성 매크로가 삽입된 Microsoft Excel 파일을 8만 명에게 발송했습니다. 이를 통해 피해자 PC에 TVRAT와 DarkVNC라는 원격 제어 악성코드(RAT, 감염된 컴퓨터를 인터넷을 통해 몰래 조종하는 프로그램)를 심어 개인정보와 전자상거래 로그인 정보를 탈취했습니다. 피해자의 절반이 미국 내에 있었으며, 피고인은 2025년 5월 키프로스에서 체포돼 미국으로 송환됐습니다. 미국 법무부는 같은 날 러시아 연계 Sality 봇넷 인프라 해체 작업도 병행 중임을 발표했습니다.
러시아 국적자가 2016~2017년 프리랜서 플랫폼 메시징 기능을 악용한 피싱으로 8만 명의 PC에 TVRAT·DarkVNC 악성코드를 설치하고 개인정보 및 전자상거래 계정 정보를 탈취했다.
피해자 수만 명의 원격 제어권이 공격자에게 넘어갔으며, 탈취된 자격증명은 사기 등 추가 범죄에 활용됐다. 피해자의 절반이 미국 내 거주자였다.
255개의 가짜 계정으로 악성 매크로가 포함된 Excel 파일을 대량 발송하는 스피어 피싱 수법을 사용했으며, C2(명령·제어) 서버 운영 비용은 가상화폐로 결제해 추적을 회피했다.
피고인은 2025년 5월 키프로스에서 체포·송환돼 현재 연방 구금 중이며, 10월 5일 법원 출석이 예정돼 있다. 법무부는 동시에 러시아 연계 Sality 봇넷 인프라 해체 작업도 진행 중이다.
플랫폼 내 메시징을 통한 첨부파일 피싱은 여전히 유효한 공격 경로이므로, 업무용 플랫폼에서의 Excel 매크로 실행 차단 정책과 외부 발신자 첨부파일 검사를 재점검해야 한다.
본문
캘리포니아 연방 대배심이 수천 명의 프리랜서를 TVRAT 및 DarkVNC 악성코드에 감염시킨 피싱 캠페인에 관여한 혐의로 러시아 국적자를 기소했다.
40세인 세아르주딘 타미를라노비치 아크툴라예프는 2025년 5월 키프로스 라르나카 공항에서 체포된 뒤 미국으로 송환됐다.
2021년 6월 제출됐다가 이번 주에 공개된 법원 문서에 따르면, 아크툴라예프는 캘리포니아 북부 연방지방법원 관할 내에 위치한 이름 미상의 프리랜서 고용 기술 회사의 온라인 메시징 플랫폼을 피싱 공격에 악용해 수천 명의 이용자를 감염시킨 것으로 알려졌다.
2016년 6월부터 2017년 11월까지, 피고인은 255개의 가짜 계정을 사용해 악성 매크로가 삽입된 Microsoft Excel 첨부파일을 8만 명의 프리랜서에게 발송했으며, 이 파일은 인터넷에서 악성코드를 피해자 시스템에 내려받았다.
일련의 공격을 통해 아크툴라예프는 피해자 기기에 TVRAT 악성코드(TeamSPy 및 TVSPY로도 불림)와 DarkVNC를 각각 심었으며, 이를 통해 원격 관리 도구인 TeamViewer와 VNC Viewer를 이용해 감염 시스템을 원격으로 제어했다.
미국 법무부는 "TVRAT와 DarkVNC 악성코드 모두 피해자 컴퓨터에서 탈취한 데이터를 명령·제어(C2) 서버로 전송했으며, 아크툴라예프와 공모자들은 이 데이터를 수집해 사기 또는 기타 범죄 행위에 활용했다"고 밝혔다.
또한 "명령·제어 도메인 비용은 가상화폐로 결제됐으며, TVRAT 악성코드에 감염된 수천 대의 컴퓨터가 미국 내에 호스팅된 명령·제어 도메인으로 '콜백'하고 있었다"고 덧붙였다.
아크툴라예프는 피해자들의 전자상거래 로그인 자격증명과 개인 식별 정보도 탈취했다. 수사 결과, 전체 감염 피해자의 절반이 미국 내에 있었으며, 상당수가 캘리포니아 북부 연방지방법원 관할 지역에 거주하는 것으로 확인됐다.
아크툴라예프는 현재 연방 구금 상태이며, 10월 5일 도나토 연방 지방법원 판사 앞에 출석할 예정이다.
한편 미국 법무부는 같은 날, 러시아와 연계된 Sality 봇넷의 악성코드 인프라를 해체하기 위해 국제 법집행기관 및 민간 파트너들과 공동 글로벌 작전을 진행 중이라고 발표했다.
