Ministerstvo financí cílí na VPN infrastrukturu stojící za ransomwarovými gangy

Úřad pro kontrolu zahraničních aktiv (OFAC) Ministerstva financí USA uvalil sankce na dva jednotlivce a jeden subjekt za umožnění ransomwarových útoků na americké organizace. Ve středu této akce je VPN služba First VPN Service, známá jako 1VPNS, poskytovatel VPN obviněný z prodeje anonymizační infrastruktury kyberzločineckým skupinám. Její administrátor, identifikovaný jako Dmytro Rashevskyi, byl jmenován společně s prodejcem malware crypterů, nástrojů používaných k maskování škodlivého kódu tak, aby unikl antivirovým a endpoint detekčním systémům.

Jedná se o pozoruhodný krok, protože sankce obvykle cílí na provozovatele ransomwaru, pračky kryptoměn nebo samotné hackerské skupiny. Přímé zaměření na poskytovatele VPN signalizuje, že ministerstvo financí nyní považuje komerční anonymizační služby za součást ransomwarového dodavatelského řetězce, nikoli jen za neutrální infrastrukturu, kterou zločinci náhodou používají.

Proč poskytovatel VPN skončil na sankčním seznamu

VPN jsou legitimní nástroje pro ochranu soukromí, které denně používají miliony lidí z naprosto legálních důvodů: k ochraně dat na veřejných Wi-Fi, k zabezpečení připojení při práci na dálku nebo jednoduše k ochraně historie prohlížení před ISP a inzerenty. Co dostalo 1VPNS do hledáčku ministerstva financí, nebyla samotná existence VPN služby, ale obvinění, že vědomě prodávala přístup ransomwarovým skupinám, které chtěly maskovat původ svých útoků a vyhnout se sledování ze strany orgánů činných v trestním řízení.

Ransomwarové skupiny silně spoléhají na vrstvenou infrastrukturu, aby zůstaly skryté: bulletproof hosting, jednorázové domény, crypter nástroje ke skrytí škodlivých payloadů a VPN či proxy řetězce, které zamlžují, odkud byl útok skutečně spuštěn. Prodejce crypterů jmenovaný v této sankční akci údajně poskytoval přesně tento druh obfuskace, pomáhal škodlivým payloadům proklouznout bezpečnostním softwarem ještě před nasazením ransomwaru. Sankcionováním poskytovatele VPN i prodejce crypterů v jedné akci se zasahují dva různé články tohoto řetězce najednou.

Stojí za zmínku, že zneužívání infrastruktury se neomezuje jen na VPN a cryptery. Útočníci běžně zneužívají zranitelnosti v široce používaném serverovém softwaru, aby si vůbec vytvořili opěrné body. Nedávný exploit obcházející autentizaci v cPanelu, který zasáhl desítky tisíc serverů, je dobrým příkladem toho, jak rychle dokážou útočníci ve velkém měřítku zneužít jedinou chybu, čímž získají přístup, který lze později zkombinovat s anonymizačními a obfuskujícími nástroji, na které nyní OFAC cílí.

Co sankce ve skutečnosti dělají (a nedělají)

Sankce OFAC blokují občanům a společnostem z USA obchodování s jmenovanými jednotlivci a subjekty a zmrazují veškerá jejich aktiva spadající pod jurisdikci USA. V praxi to znamená, že pro sankcionovaného poskytovatele VPN je mnohem obtížnější zpracovávat platby přes běžné finanční kanály, protože banky a platební zpracovatelé jsou po vydání sankcí právně povinni přerušit vazby.

Sankce nezastaví službu přes noc a nezabrání odhodlaným zločineckým zákazníkům najít si náhradní poskytovatele. Zvyšují však náklady a komplikace pro ransomwarové operace, které spoléhají na komerční nástroje, spíše než aby si vše budovaly samy. Společně se zásahy orgánů činných v trestním řízení a mezinárodní spoluprací podobné akce narušují ekosystém, díky němuž zůstává ransomware ziskový.

Co to znamená pro vás

Pokud pro každodenní ochranu soukromí používáte mainstreamovou a renomovanou VPN službu, tato akce se vás nijak netýká. Legitimní poskytovatelé VPN s transparentními obchodními praktikami, jasnými zásadami ochrany osobních údajů a bez vazeb na kriminální klientelu zde nejsou terčem. Sankce míří výhradně na poskytovatele, který byl údajně vybudován pro obsluhu ransomwarových operátorů, a ne na širší odvětví VPN.

To znamená, že tato zpráva je užitečnou připomínkou, abyste si každou VPN službu, ke které se registrujete, prověřili. Poskytovatelé s nejasnými informacemi o vlastnictví, bez zveřejněných zásad ochrany osobních údajů nebo s historií spojování s podzemními fóry jsou varovnými signály, které je třeba brát vážně. Důvěryhodná VPN by měla být transparentní ohledně toho, kdo ji provozuje, jaká data ukládá a jak reaguje na právní žádosti.

Praktické závěry

  • Držte se zavedených poskytovatelů VPN, kteří zveřejňují jasné zásady ochrany osobních údajů a prošli nezávislými audity.
  • Buďte opatrní u VPN služeb, které jsou inzerovány především na podzemních fórech nebo jsou nabízeny pro anonymitu při nelegální činnosti.
  • Udržujte serverový software a panely webhostingu včas aktualizované, protože nezabezpečená infrastruktura zůstává běžným vstupním bodem pro ransomwarové skupiny.
  • Berte zprávy o sankcích jako signál o tom, jak ransomwarová infrastruktura funguje v zákulisí, a ne jako důvod k obecné nedůvěře k VPN.

Zásah Ministerstva financí proti First VPN Service ukazuje, že boj proti ransomwaru se rozšiřuje nad rámec samotných zločineckých gangů na poskytovatele infrastruktury, kteří je v tichosti udržují v chodu. Pro běžné uživatele z toho plyne ponaučení nebát se VPN, ale vybírat si služby postavené na transparentnosti namísto anonymity na objednávku.