Uma campanha de malware que utilizou arquivos do Microsoft Excel para atingir trabalhadores freelancers em diferentes países voltou ao centro das atenções quase uma década depois dos ataques.
O cidadão russo Searzhudin Tamirlanovich Aktulaev, de 40 anos, foi extraditado para os Estados Unidos e agora responde na Justiça federal americana por sua suposta participação em uma operação que utilizou uma plataforma de contratação de freelancers para distribuir malware a aproximadamente 80 mil usuários.
A investigação descreve uma estratégia particularmente eficiente de engenharia social.
Em vez de enviar phishing por e-mail, os criminosos teriam criado cerca de 255 contas falsas dentro da própria plataforma de trabalho freelancer.
A partir delas, potenciais clientes abordavam profissionais e enviavam arquivos do Excel aparentemente relacionados aos serviços solicitados.
Quando a vítima abria a planilha e executava a macro indicada pelo documento, malware era baixado da internet.
O objetivo final era assumir o controle remoto dos computadores, roubar informações e utilizar os dados em outras fraudes.
Ataques aconteceram entre 2016 e 2017
Existe uma precisão importante nesta notícia.
Não se trata de uma nova campanha de malware ocorrendo em 2026.
Segundo o Departamento de Justiça dos Estados Unidos, os ataques investigados aconteceram entre junho de 2016 e novembro de 2017.
O caso voltou às manchetes agora porque Aktulaev foi extraditado para os Estados Unidos em 28 de agosto de 2026.
Ele compareceu à Justiça federal em San Francisco em 31 de agosto e permanece sob custódia.
A acusação havia sido apresentada originalmente em 1º de junho de 2021, mas permanecia sob sigilo e somente foi tornada pública depois da chegada do acusado aos Estados Unidos.
80 mil receberam malware — mas cuidado com o número
Outro ponto precisa ser tratado com precisão.
Algumas manchetes afirmam que o malware “infectou 80 mil computadores”.
A documentação do Departamento de Justiça é mais cuidadosa.
A acusação afirma que os criminosos exploraram a plataforma para espalhar malware a aproximadamente 80 mil usuários freelancers.
As mensagens enviadas pelas contas falsas continham anexos maliciosos do Microsoft Excel.
Para que o ataque avançasse, entretanto, era necessário abrir o documento e executar a macro solicitada.
A investigação encontrou evidências de milhares de computadores efetivamente infectados comunicando-se com a infraestrutura dos criminosos.
Portanto, não existe base pública suficiente para concluir que todos os 80 mil destinatários executaram o arquivo e tiveram seus computadores comprometidos.
A formulação mais correta é:
cerca de 80 mil freelancers foram alvo da distribuição do malware, enquanto milhares de infecções foram identificadas pela investigação.
O ataque começava dentro de uma plataforma confiável
Esse é talvez o aspecto mais interessante do caso para a segurança atual.
Freelancers estão acostumados a receber arquivos de pessoas que nunca conheceram.
Um potencial cliente pode enviar:
briefing;
planilha de preços;
lista de produtos;
documentação;
cronograma;
dados de projeto;
orçamento;
ou especificações técnicas.
Abrir documentos faz parte do trabalho.
Os criminosos exploraram justamente essa rotina.
Em vez de uma mensagem suspeita chegando de um endereço de e-mail desconhecido, a abordagem acontecia dentro de uma plataforma que a vítima utilizava profissionalmente.
Departamento de Justiça não revelou qual plataforma foi utilizada
Apesar da dimensão da campanha, a empresa não foi identificada publicamente.
A documentação oficial descreve apenas uma conhecida empresa de tecnologia para contratação de freelancers localizada no Distrito Norte da Califórnia.
Portanto, atribuir o incidente a uma plataforma específica sem confirmação seria especulação.
Também não foram divulgados publicamente, no comunicado do governo americano, elementos suficientes para que antigos usuários simplesmente pesquisem seus dados e determinem se foram vítimas.
255 contas falsas foram utilizadas
Segundo a acusação, Aktulaev e seus supostos cúmplices utilizaram aproximadamente 255 perfis falsos.
Essas contas serviam para iniciar conversas com freelancers.
Dentro das mensagens eram enviados arquivos maliciosos do Excel.
Ao abrir a planilha, o usuário era induzido a executar uma macro.
A macro funcionava como a primeira etapa da cadeia de infecção.
Depois de autorizada, baixava o malware pela internet.
Por que uma macro do Excel pode executar código?
Macros existem para automatizar tarefas.
Empresas podem utilizá-las para:
processar dados;
criar relatórios;
realizar cálculos;
formatar planilhas;
automatizar operações repetitivas;
e integrar diferentes processos.
Historicamente, porém, essa capacidade também transformou documentos do Microsoft Office em um dos mecanismos favoritos para distribuição de malware.
Um documento pode parecer completamente normal.
Mas a macro embutida nele pode iniciar uma cadeia de comandos maliciosos.
Ataque dependia da ação da vítima
É importante entender que, de acordo com a acusação, simplesmente receber a planilha não significava automaticamente estar infectado.
O documento precisava ser aberto e a macro executada.
Esse é um exemplo clássico de engenharia social.
O sistema operacional não era necessariamente o primeiro alvo.
A confiança do usuário era.
O atacante precisava convencer o freelancer de que aquele documento fazia parte de um trabalho legítimo.
TVRAT permitia controlar o computador
Um dos malwares descritos pela acusação é o TVRAT — TeamViewer Remote Access Trojan, também conhecido como TVSPY ou TeamSpy.
Segundo os promotores americanos, a ferramenta explorava uma vulnerabilidade relacionada ao TeamViewer para fornecer controle remoto sobre computadores infectados.
O TeamViewer é uma ferramenta legítima amplamente utilizada para acesso e suporte remoto.
O problema não está na existência da tecnologia de acesso remoto.
Criminosos procuram abusar dessas capacidades para controlar máquinas sem autorização.
DarkVNC também fazia parte do arsenal
A acusação menciona ainda outro malware:
DarkVNC.
Sua finalidade era semelhante à do TVRAT, mas utilizava uma abordagem relacionada ao software de administração remota VNC Viewer.
Nos dois casos, o objetivo era transformar o computador comprometido em uma máquina que pudesse ser acessada remotamente pelos invasores.
Isso abre possibilidades muito maiores do que simplesmente roubar um arquivo.
Computador comprometido vira porta para toda a vida digital
Um freelancer frequentemente concentra grande parte de sua atividade profissional em um único computador.
E-mail.
Clientes.
Contas bancárias.
Plataformas de pagamento.
Documentos.
Serviços em nuvem.
Senhas.
Redes sociais.
Projetos.
Credenciais corporativas.
Sistemas de clientes.
Um malware de acesso remoto pode transformar esse computador em um ponto privilegiado para roubo de informações.
E, dependendo das credenciais disponíveis, o ataque pode ultrapassar o próprio freelancer e atingir seus clientes.
Malware enviava dados para servidores de comando e controle
Depois da infecção, TVRAT e DarkVNC enviavam informações roubadas para infraestrutura de Command and Control — C2.
Esses servidores funcionavam como pontos de comunicação entre computadores comprometidos e criminosos.
Segundo a acusação, os domínios utilizados nessa infraestrutura eram pagos utilizando moeda virtual.
Investigadores encontraram milhares de computadores infectados pelo TVRAT comunicando-se com um domínio de C2 hospedado nos Estados Unidos.
Banco de dados revelou milhares de vítimas
A investigação encontrou um banco de dados associado à infraestrutura que continha registros relacionados a milhares de vítimas.
Também foi localizado um documento compartilhado dentro de uma conta de e-mail utilizada nas atividades criminosas.
Esse arquivo continha, segundo os promotores:
credenciais de serviços de comércio eletrônico e informações pessoalmente identificáveis de centenas de vítimas.
Esses dados poderiam posteriormente ser utilizados para novas fraudes.
Metade dos alvos estava nos Estados Unidos
Segundo a acusação, aproximadamente metade dos usuários atingidos estava nos Estados Unidos.
Muitos estavam justamente no norte da Califórnia.
A outra metade estava distribuída internacionalmente.
O governo americano não apresentou, no comunicado público, uma relação completa dos países atingidos.
Portanto, não há base para afirmar quantos brasileiros receberam as planilhas ou foram efetivamente infectados.
O caso continua relevante dez anos depois
A técnica utilizada pode parecer antiga.
Excel.
Macro.
Download de malware.
Controle remoto.
Mas o princípio continua extremamente atual.
O arquivo muda.
O canal muda.
A tecnologia muda.
A engenharia social permanece.
Hoje, um criminoso pode utilizar:
arquivos compactados;
PDFs falsos;
links para armazenamento em nuvem;
CAPTCHAs fraudulentos;
ClickFix;
scripts;
arquivos HTML;
instaladores falsos;
repositórios de código;
ou documentos aparentemente relacionados a uma proposta comercial.
O objetivo continua sendo convencer a vítima a executar alguma ação.
Microsoft endureceu o tratamento das macros
O cenário atual do Office também é diferente daquele existente durante os ataques.
Em 2022, a Microsoft passou a bloquear por padrão macros em arquivos do Office provenientes da internet em determinadas condições.
A mudança reduziu significativamente a eficácia de várias campanhas tradicionais baseadas simplesmente em convencer usuários a clicar em “habilitar conteúdo”.
Isso não tornou macros inofensivas.
Ambientes antigos, configurações corporativas específicas, documentos que perderam a marca de origem da internet e diferentes técnicas de contorno ainda podem criar riscos.
Criminosos simplesmente mudaram de estratégia
O endurecimento das macros demonstra uma característica recorrente do cibercrime.
Quando uma porta é fechada, atacantes procuram outra.
Nos últimos anos cresceram campanhas utilizando engenharia social para convencer usuários a:
copiar comandos;
abrir PowerShell;
executar instaladores;
descompactar arquivos;
utilizar atalhos;
instalar falsas atualizações;
ou realizar manualmente etapas que os sistemas modernos bloqueiam automaticamente.
Ou seja, controles técnicos aumentam o trabalho do atacante.
Mas treinamento e atenção do usuário continuam necessários.
Freelancers são alvos especialmente interessantes
O caso também revela uma característica importante do trabalho independente.
Funcionários de grandes empresas podem contar com:
EDR;
antivírus corporativo;
SOC;
filtros de e-mail;
sandbox;
controle de aplicações;
gestão centralizada;
backup;
políticas de segurança;
e equipes especializadas.
Um freelancer muitas vezes possui apenas:
seu notebook.
E naquele notebook estão informações de vários clientes.
Um freelancer comprometido pode virar ataque à cadeia de suprimentos
Imagine um desenvolvedor independente trabalhando para cinco empresas.
Ele possui:
acesso ao GitHub;
VPN;
credenciais de cloud;
tokens;
arquivos de configuração;
documentos internos;
e-mail;
e ferramentas de comunicação.
Se o computador desse profissional for comprometido, o invasor pode tentar utilizar esses acessos para entrar nos ambientes dos clientes.
Isso transforma uma fraude direcionada a uma pessoa em potencial problema de supply chain.
Empresas também precisam pensar na segurança dos terceirizados
A lição não serve apenas para profissionais independentes.
Empresas contratam cada vez mais:
freelancers;
consultores;
agências;
desenvolvedores externos;
designers;
profissionais de marketing;
prestadores de suporte;
e fornecedores especializados.
Essas pessoas podem receber algum nível de acesso aos sistemas corporativos.
Portanto, identidade e segurança precisam considerar terceiros da mesma forma que funcionários.
A prisão aconteceu anos depois
Outro aspecto marcante é a cronologia.
A campanha terminou, segundo a acusação, em 2017.
O indiciamento ocorreu em 2021.
Aktulaev foi preso em Chipre em maio de 2025.
A extradição somente aconteceu em 28 de agosto de 2026.
E agora ele enfrenta o processo nos Estados Unidos.
Quase uma década separa o início dos ataques do momento em que o acusado passa a responder presencialmente perante a Justiça americana.
Há informações divergentes sobre o ano da prisão
Algumas reportagens recentes indicaram incorretamente que Aktulaev teria sido preso no Chipre em maio de 2021.
O comunicado atualizado do Departamento de Justiça informa:
maio de 2025.
Essa é a data que deve ser considerada na cobertura atual.
O indiciamento, sim, é de junho de 2021.
A proximidade dessas duas informações provavelmente contribuiu para a confusão em algumas publicações.
Ele ainda não foi condenado
Também é fundamental manter a precisão jurídica.
Aktulaev foi indiciado e acusado.
Ele não foi condenado pelas acusações descritas.
No sistema judicial americano, o indiciamento representa alegações que ainda precisam ser provadas.
O próprio Departamento de Justiça ressalta que o acusado é presumido inocente até que sua culpa seja demonstrada além de dúvida razoável.
Pena pode chegar a 20 anos
Entre as acusações aparecem crimes relacionados a:
conspiração para fraude eletrônica;
transmissão de código para causar danos a computadores protegidos;
conspiração para fraude informática;
acesso não autorizado;
obtenção de informações para ganho financeiro;
e roubo agravado de identidade.
A acusação de conspiração para fraude eletrônica pode resultar em até 20 anos de prisão, caso haja condenação.
Outros crimes possuem penas máximas próprias.
A sentença final, se houver condenação, será determinada pelo tribunal.
Próxima audiência está marcada para outubro
Aktulaev permanece sob custódia federal.
A próxima audiência de acompanhamento do processo está prevista para:
5 de outubro de 2026.
O caso é investigado pelo FBI e processado pela seção especializada em Segurança Nacional, Cibersegurança e Processos Especiais do Ministério Público Federal do Distrito Norte da Califórnia.
A maior lição está no canal utilizado
O aspecto mais atual da história não é o Excel.
É a confiança.
Criminosos não precisam necessariamente criar um e-mail obviamente fraudulento.
Eles podem entrar no mesmo ambiente utilizado pela vítima para trabalhar.
Um falso cliente dentro de uma plataforma de freelancers possui uma vantagem psicológica enorme.
A vítima espera receber arquivos.
Espera receber briefings.
Espera conversar com desconhecidos.
Espera abrir documentos.
O ataque se mistura ao fluxo normal de trabalho.
A regra para freelancers precisa mudar
Um arquivo enviado por um potencial cliente deve ser tratado como conteúdo externo não confiável, mesmo quando chega pelo chat oficial de uma plataforma conhecida.
Isso significa evitar habilitar macros sem necessidade, manter Office e sistema operacional atualizados, utilizar proteção de endpoint, verificar extensões e desconfiar de documentos que exigem ações incomuns para “mostrar o conteúdo”.
Para profissionais que possuem acesso aos ambientes de clientes, separar dispositivos ou perfis profissionais também pode reduzir o impacto de um comprometimento.
O número de 80 mil precisa ser contado corretamente
A campanha foi enorme.
Mas precisão continua importante.
A documentação pública sustenta que aproximadamente 80 mil freelancers foram atingidos pela distribuição dos arquivos maliciosos.
Ela também sustenta que milhares de computadores infectados foram encontrados comunicando-se com a infraestrutura dos criminosos.
Não permite concluir, entretanto, que exatamente 80 mil computadores foram infectados.
Essa diferença parece pequena em uma manchete.
Em cibersegurança, não é.
80 mil alvos não são automaticamente 80 mil vítimas comprometidas.
O que o processo americano revela com clareza é que uma plataforma profissional confiável pode ser transformada em canal de phishing — e que um arquivo aparentemente banal enviado por um “cliente” pode ser suficiente para iniciar um comprometimento completo da máquina.
