Valtiovarainministeriö iskee kiristysohjelmajengien taustalla olevaan VPN-infrastruktuuriin
Yhdysvaltain valtiovarainministeriön Office of Foreign Assets Control (OFAC) on asettanut pakotteita kahdelle henkilölle ja yhdelle yhteisölle, koska he mahdollistivat kiristyshaittaohjelmahyökkäykset yhdysvaltalaisia organisaatioita vastaan. Toimenpiteen keskiössä on First VPN Service, eli 1VPNS, VPN-palveluntarjoaja, jota syytetään anonymisointi-infrastruktuurin myymisestä kyberrikollisryhmille. Sen ylläpitäjäksi nimetty Dmytro Rashevskyi mainittiin yhdessä haittaohjelmien kryptaustyökalujen myyjän kanssa; kyseisiä työkaluja käytetään haitallisen koodin naamioimiseen niin, että se lipeää virustorjunnan ja päätelaitteiden havaitsemisjärjestelmien ohi.
Kyseessä on merkittävä liike, sillä pakotteet kohdistuvat tyypillisesti kiristysohjelmien operaattoreihin, kryptovaluutan rahanpesijöihin tai itse hakkeriryhmiin. VPN-palveluntarjoajan ottaminen suoraan kohteeksi viestii, että valtiovarainministeriö pitää nyt kaupallisia anonymiteettipalveluita osana kiristysohjelmien toimitusketjua, ei pelkkänä neutraalina infrastruktuurina, jota rikolliset sattuvat käyttämään.
Miksi VPN-palveluntarjoaja päätyi pakotelistalle
VPN:t ovat laillisia yksityisyyden suojaan tarkoitettuja työkaluja, joita miljoonat käyttävät päivittäin täysin lainmukaisista syistä: julkisten Wi-Fi-verkkojen tietosuojan parantamiseen, etätyöyhteyksien turvaamiseen tai yksinkertaisesti selaustottumusten pitämiseen piilossa operaattoreilta ja mainostajilta. 1VPNS:n joutuminen valtiovarainministeriön hampaisiin ei johtunut VPN-palvelun olemassaolosta, vaan väitteestä, jonka mukaan se myi tietoisesti pääsyä kiristysohjelmaryhmille, jotka pyrkivät peittämään hyökkäystensä alkuperää ja välttämään viranomaisten jäljityksen.
Kiristysohjelmatiimit ovat vahvasti riippuvaisia kerroksellisesta infrastruktuurista pysyäkseen piilossa: luodinkestävästä hostingista, kertakäyttöisistä verkkotunnuksista, haittaohjelmien hyötykuormia piilottavista kryptaustyökaluista sekä VPN- ja välityspalvelinketjuista, jotka hämärtävät hyökkäyksen todellisen lähtöpaikan. Tässä yhteydessä nimetty kryptaustyökalujen myyjä tarjosi raporttien mukaan juuri tämän tyyppistä hämäämispalvelua, jonka avulla haitalliset hyötykuormat livahtivat tietoturvaohjelmistojen ohi ennen kiristysohjelman käyttöönottoa. Sekä VPN-palveluntarjoajan että kryptaustyökalujen myyjän asettaminen pakotteisiin samalla kertaa iskee kahteen eri lenkkiin tässä ketjussa.
On syytä huomata, ettei infrastruktuurin väärinkäyttö rajoitu vain VPN:iin ja kryptaustyökaluihin. Hyökkääjät hyödyntävät rutiininomaisesti laajalti käytettyjen palvelinohjelmistojen haavoittuvuuksia saadakseen jalansijaa alun perinkin. Tuore cPanel-todennuksen ohituksen hyväksikäyttö, joka osui kymmeniin tuhansiin palvelimiin, on hyvä esimerkki siitä, miten nopeasti hyökkääjät pystyvät aseistamaan yhden haavoittuvuuden laajassa mittakaavassa ja saamaan jalansijan, jonka he voivat myöhemmin yhdistää juuri sellaisiin anonymisointi- ja hämäämistyökaluihin, joihin OFAC nyt kohdistaa huomionsa.
Mitä pakotteet todellisuudessa tekevät (ja mitä eivät tee)
OFACin pakotteet estävät yhdysvaltalaisia henkilöitä ja yrityksiä harjoittamasta liiketoimintaa pakotteiden kohteiksi joutuneiden yksilöiden ja yhteisöjen kanssa ja jäädyttävät niiden Yhdysvaltain lainkäyttövallan alla olevat varat. Käytännössä tämä tekee pakotteiden alaiselle VPN-palveluntarjoajalle paljon vaikeammaksi käsitellä maksuja valtavirran talouskanavien kautta, koska pankit ja maksupalveluntarjoajat ovat lain mukaan velvollisia katkaisemaan suhteensa heti, kun pakote on asetettu.
Pakotteet eivät sulje palvelua yhdessä yössä, eivätkä ne välttämättä estä määrätietoisia rikollisia asiakkaita löytämästä korvaavia palveluntarjoajia. Mutta ne nostavat kustannuksia ja kitkaa kiristysohjelmatoimijoille, jotka luottavat kaupallisiin työkaluihin sen sijaan, että rakentaisivat kaiken itse. Yhdistettynä viranomaisten takavarikointioperaatioihin ja kansainväliseen yhteistyöhön tällaiset toimet nakertavat sitä ekosysteemiä, joka pitää kiristysohjelmien käytön kannattavana.
Mitä tämä tarkoittaa sinulle
Jos käytät valtavirran hyvämaineista VPN-palvelua jokapäiväiseen yksityisyydensuojaan, tällä toimenpiteellä ei ole vaikutusta sinuun. Lailliset VPN-palveluntarjoajat, joilla on avoin liiketoiminta, selkeät tietosuojakäytännöt ja jotka eivät ole kytköksissä rikolliseen asiakaskuntaan, eivät ole tämän toiminnan kohteena. Pakotteet kohdistuvat nimenomaan palveluntarjoajaan, jonka väitetään rakennetun palvelemaan kiristysohjelmaoperaattoreita, ei koko VPN-teollisuudenalaan.
Tämän uutisen myötä on kuitenkin hyvä muistutus arvioida jokainen käyttämäsi VPN-palvelu. Palveluntarjoajat, joiden omistajatiedot ovat epämääräiset, jotka eivät ole julkaisseet tietosuojakäytäntöä tai joiden tausta on kytketty maanalaisiin foorumeihin, ovat varoitusmerkkejä, jotka kannattaa ottaa vakavasti. Luotettavan VPN:n tulisi olla avoin siitä, kuka sitä pyörittää, mitä tietoja se lokittaa ja miten se vastaa oikeudellisiin pyyntöihin.
Käytännön opit
- Pysy vakiintuneissa VPN-palveluntarjoajissa, jotka julkaisevat selkeät tietosuojakäytännöt ja joiden taustalla on riippumattomien auditointien historia.
- Suhtaudu varauksella VPN-palveluihin, joita mainostetaan pääasiassa maanalaisilla foorumeilla tai jotka markkinoivat anonymiteettiä laittomiin tarkoituksiin.
- Pidä palvelinohjelmistot ja verkkohotellien hallintapaneelit ajan tasalla korjaustiedostojen avulla, sillä päivittämätön infrastruktuuri on edelleen yleinen sisäänpääsypiste kiristysohjelmatiimeille.
- Suhtaudu pakoteuutisiin signaalina siitä, miten kiristysohjelmien infrastruktuuri toimii kulissien takana, ei syynä epäillä VPN:iä yleisesti.
Valtiovarainministeriön First VPN Serviceen kohdistama toimenpide osoittaa, että kiristysohjelmien vastaiset tehostamistoimet laajenevat rikollisjengien ulkopuolelle ja koskettavat nyt niitä infrastruktuurin tarjoajia, jotka hiljaisesti pitävät ne toiminnassa. Tavallisille käyttäjille opetus ei ole VPN:ien pelkääminen, vaan sellaisten palveluiden valitseminen, jotka on rakennettu läpinäkyvyyden eikä vuokratun anonymiteetin varaan.
