A Pénzügyminisztérium a ransomware bandák mögötti VPN-infrastruktúrát veszi célba

Az Egyesült Államok Pénzügyminisztériumának Külföldi Vagyonellenőrzési Hivatala (OFAC) két magánszemélyt és egy szervezetet szankcionált, mert lehetővé tették amerikai szervezetek elleni ransomware-támadásokat. Az intézkedés középpontjában a First VPN Service, más néven 1VPNS áll, egy VPN-szolgáltató, amelyet azzal vádolnak, hogy anonimizáló infrastruktúrát értékesített kiberbűnözői csoportoknak. Adminisztrátorát, Dmytro Rashevskyi-t, egy kártevő-kriptáló eszközök (malware crypters) értékesítőjével együtt nevezték meg; ezek az eszközök arra szolgálnak, hogy álcázzák a rosszindulatú kódot, így az átcsússzon a vírusirtó és végpontvédelmi rendszereken.

Ez azért figyelemre méltó lépés, mert a szankciók jellemzően ransomware-üzemeltetőket, kriptovaluta-pénzmosókat vagy magukat a hackercsoportokat célozzák. Azzal, hogy közvetlenül egy VPN-szolgáltató ellen lépnek fel, a Pénzügyminisztérium most már a ransomware-ellátási lánc részeként tekint a kereskedelmi anonimitási szolgáltatásokra, nem csupán semleges infrastruktúraként, amelyet a bűnözők véletlenül használnak.

Miért került egy VPN-szolgáltató a szankciós listára?

A VPN-ek legitim adatvédelmi eszközök, amelyeket naponta milliók használnak teljesen jogszerű okokból: adatok védelme nyilvános Wi-Fi-n, távoli munkakapcsolatok biztosítása, vagy egyszerűen a böngészési szokások elrejtése az internetszolgáltatók és hirdetők elől. Ami miatt az 1VPNS a Pénzügyminisztérium célkeresztjébe került, nem a VPN-szolgáltatás puszta létezése volt, hanem az a vád, hogy tudatosan adott el hozzáférést olyan ransomware-csoportoknak, amelyek támadásaik eredetét akarták leplezni és a bűnüldöző szervek nyomozását elkerülni.

A ransomware-csapatok komolyan támaszkodnak a réteges infrastruktúrára, hogy rejtve maradjanak: golyóálló tárhely, eldobható domainek, kriptáló eszközök a rosszindulatú kód terjesztésének elrejtésére, valamint VPN- vagy proxyláncok, amelyek elfedik, honnan is indítják valójában a támadást. Az akcióban megnevezett kriptálóeszköz-eladó állítólag pontosan ilyen elfedési szolgáltatást nyújtott, segítve, hogy a rosszindulatú kártevők átcsússzanak a biztonsági szoftvereken, mielőtt a ransomware települhetett volna. Az, hogy egyszerre szankcionálták a VPN-szolgáltatót és a kriptálóeszköz-eladót is, egyszerre két láncszemet céloz meg ebben a láncolatban.

Érdemes megjegyezni, hogy az infrastruktúrával való visszaélés nem korlátozódik a VPN-ekre és a kriptálókra. A támadók rutinszerűen használják ki a széles körben használt szerver-szoftverek sebezhetőségeit, hogy egyáltalán megvethessék a lábukat. A nemrégiben több tízezer szervert érintő cPanel hitelesítés-megkerülő sebezhetőség kihasználása jó példa arra, hogy a támadók milyen gyorsan tudnak nagy léptékben fegyverré alakítani egyetlen hibát, ami aztán párosítható az OFAC által most célzott anonimizáló és elfedő eszközökkel.

Mit tesznek (és mit nem) a szankciók valójában?

Az OFAC-szankciók megtiltják amerikai személyek és vállalatok számára, hogy üzleteljenek a megnevezett magánszemélyekkel és szervezetekkel, valamint befagyasztják az Egyesült Államok joghatósága alatt tartott eszközeiket. A gyakorlatban ez sokkal nehezebbé teszi egy szankcionált VPN-szolgáltató számára, hogy a mainstream pénzügyi csatornákon keresztül fogadjon fizetéseket, mivel a bankok és a fizetésfeldolgozók jogilag kötelesek megszakítani a kapcsolatot, amint a szankciót kiadják.

A szankciók nem állítanak le egy szolgáltatást egyik napról a másikra, és nem feltétlenül akadályozzák meg az elszánt bűnöző ügyfeleket abban, hogy helyettesítő szolgáltatókat találjanak. Viszont növelik a költségeket és a súrlódást azon ransomware-műveletek számára, amelyek kereskedelmi eszközökre támaszkodnak ahelyett, hogy mindent házon belül építenének. A bűnüldöző szervek lefoglalásaival és a nemzetközi együttműködéssel kombinálva az ehhez hasonló akciók apránként rombolják azt az ökoszisztémát, amely a ransomware-t nyereségessé teszi.

Mit jelent ez Önnek?

Ha egy mainstream, jó hírű VPN-szolgáltatást használ a mindennapi adatvédelem érdekében, ez az intézkedés nincs hatással Önre. Az átlátható üzleti gyakorlattal, világos adatvédelmi irányelvekkel és bűnöző ügyfélkörhöz fűződő kapcsolatok nélkül működő, legitim VPN-szolgáltatók nem célpontjai ennek. A szankciók kifejezetten egy olyan szolgáltató ellen irányulnak, amelyet állítólag ransomware-üzemeltetők kiszolgálására építettek, nem pedig a tágabb VPN-iparág ellen.

Ennek ellenére ez a hír hasznos emlékeztető arra, hogy ellenőrizze, milyen VPN-szolgáltatásra fizet elő. Azok a szolgáltatók, amelyek tulajdonosi információi homályosak, nincs közzétett adatvédelmi irányelvük, vagy a múltban földalatti fórumokkal hozták összefüggésbe őket, olyan figyelmeztető jelek, amelyeket érdemes komolyan venni. Egy megbízható VPN-nek átláthatónak kell lennie azzal kapcsolatban, hogy ki üzemelteti, milyen adatokat naplóz, és hogyan reagál a jogi megkeresésekre.

Gyakorlati tanulságok

  • Maradjon a bejáratott VPN-szolgáltatóknál, amelyek világos adatvédelmi irányelveket tesznek közzé, és független auditokkal igazolható múltra tekintenek vissza.
  • Legyen óvatos azokkal a VPN-szolgáltatásokkal, amelyeket elsősorban földalatti fórumokon hirdetnek, vagy amelyeket illegális tevékenységekhez szükséges anonimitás jelszavával marketingelnek.
  • Tartsa naprakészen a szerver-szoftvereket és a webtárhely-kezelő paneleket, mivel a javítatlan infrastruktúra továbbra is a ransomware-csapatok gyakori belépési pontja.
  • Kezelje a szankciós híreket annak jelzéseként, hogyan működik a ransomware infrastruktúra a háttérben, ne pedig okként arra, hogy általánosságban bizalmatlan legyen a VPN-ekkel szemben.

A Pénzügyminisztérium First VPN Service elleni fellépése azt mutatja, hogy a ransomware elleni fellépés túlterjed magukon a bűnözői csoportokon, és kiterjed azokra az infrastruktúra-szolgáltatókra is, amelyek csendben működtetik őket. A hétköznapi felhasználók számára a tanulság nem az, hogy féljenek a VPN-ektől, hanem hogy olyan szolgáltatásokat válasszanak, amelyek az átláthatóságra építenek, nem pedig a bér-anonimitásra.