Il Tesoro prende di mira l'infrastruttura VPN dietro le gang di ransomware

L'Office of Foreign Assets Control (OFAC) del Dipartimento del Tesoro statunitense ha sanzionato due individui e un'entità per aver favorito attacchi ransomware contro organizzazioni statunitensi. Al centro del provvedimento c'è First VPN Service, noto come 1VPNS, un fornitore di VPN accusato di vendere infrastrutture per l'anonimato a gruppi di criminali informatici. Il suo amministratore, identificato come Dmytro Rashevskyi, è stato nominato insieme a un venditore di crypter per malware, strumenti utilizzati per camuffare il codice dannoso in modo che sfugga agli antivirus e ai sistemi di rilevamento degli endpoint.

Si tratta di una mossa significativa, perché di solito le sanzioni colpiscono gli operatori ransomware, i riciclatori di criptovalute o i gruppi di hacker stessi. Prendere di mira direttamente un fornitore di VPN segnala che il Tesoro ora considera i servizi commerciali di anonimato come parte della catena di fornitura del ransomware, e non come semplici infrastrutture neutrali di cui i criminali si servono occasionalmente.

Perché un fornitore di VPN è finito nella lista delle sanzioni

Le VPN sono strumenti legittimi per la privacy, utilizzati ogni giorno da milioni di persone per motivi del tutto legali: proteggere i dati sulle reti Wi-Fi pubbliche, mettere in sicurezza le connessioni per il lavoro da remoto o semplicemente tenere nascoste le abitudini di navigazione agli ISP e agli inserzionisti. Ciò che ha messo 1VPNS nel mirino del Tesoro non è stata l'esistenza di un servizio VPN, ma l'accusa di aver consapevolmente venduto l'accesso a gruppi di ransomware che cercavano di mascherare l'origine dei loro attacchi e di eludere il tracciamento delle forze dell'ordine.

Le bande di ransomware dipendono fortemente da infrastrutture stratificate per rimanere nascoste: hosting a prova di proiettile, domini usa e getta, strumenti crypter per nascondere il payload del malware e catene di VPN o proxy per oscurare il punto da cui viene effettivamente lanciato un attacco. Il venditore di crypter nominato in questo provvedimento avrebbe fornito proprio questo tipo di servizio di offuscamento, aiutando i payload dannosi a eludere i software di sicurezza prima che il ransomware potesse essere distribuito. Sanzionare contemporaneamente il fornitore di VPN e il venditore di crypter colpisce due diversi anelli di quella catena in un'unica azione.

Vale la pena notare che l'abuso di infrastrutture non si limita alle VPN e ai crypter. Gli aggressori sfruttano regolarmente le vulnerabilità dei software server più diffusi per ottenere un primo punto d'appoggio. Il recente exploit di bypass dell'autenticazione di cPanel che ha colpito decine di migliaia di server è un buon esempio di quanto velocemente gli aggressori possano sfruttare su larga scala una singola falla, ottenendo un accesso che può poi essere abbinato al tipo di strumenti di anonimizzazione e offuscamento che l'OFAC sta ora prendendo di mira.

Cosa fanno (e cosa non fanno) concretamente le sanzioni

Le sanzioni dell'OFAC vietano a persone e aziende statunitensi di fare affari con gli individui e l'entità designati, e congelano tutti i beni che questi detengono sotto la giurisdizione degli Stati Uniti. In pratica, ciò rende molto più difficile per un fornitore di VPN sanzionato elaborare i pagamenti attraverso i canali finanziari tradizionali, poiché le banche e gli elaboratori di pagamento sono obbligati per legge a interrompere i rapporti una volta emessa la sanzione.

Le sanzioni non fanno chiudere un servizio dall'oggi al domani, e non impediscono necessariamente a clienti criminali determinati di trovare fornitori alternativi. Aumentano però i costi e gli attriti per le operazioni ransomware che si affidano a strumenti commerciali invece di costruire tutto internamente. Insieme ai sequestri da parte delle forze dell'ordine e alla cooperazione internazionale, azioni come questa erodono l'ecosistema che mantiene redditizio il ransomware.

Cosa significa questo per te

Se utilizzi un servizio VPN affidabile e conosciuto per la privacy quotidiana, questo provvedimento non ti riguarda. I fornitori di VPN legittimi, con pratiche commerciali trasparenti, politiche sulla privacy chiare e nessun legame con clientele criminali, non sono il bersaglio qui. Le sanzioni sono rivolte in modo specifico a un fornitore che si presume sia stato costruito per servire gli operatori ransomware, non al settore VPN in generale.

Detto questo, questa notizia è un utile promemoria per valutare attentamente qualsiasi servizio VPN a cui ci si iscrive. I fornitori con informazioni proprietarie vaghe, nessuna politica sulla privacy pubblicata o una storia di associazione con forum underground sono segnali di allarme da prendere sul serio. Una VPN affidabile dovrebbe essere trasparente su chi la gestisce, quali dati registra e come risponde alle richieste legali.

Consigli pratici

  • Scegli fornitori VPN consolidati che pubblichino politiche sulla privacy chiare e abbiano una comprovata esperienza di audit indipendenti.
  • Diffida dei servizi VPN pubblicizzati principalmente su forum underground o commercializzati per l'anonimato in attività illecite.
  • Mantieni i software server e i pannelli di web hosting costantemente aggiornati, poiché le infrastrutture non patchate restano un punto di ingresso comune per le bande di ransomware.
  • Considera le notizie sulle sanzioni come un segnale di come funziona l'infrastruttura del ransomware dietro le quinte, non come un motivo per diffidare delle VPN in generale.

L'azione del Dipartimento del Tesoro contro First VPN Service dimostra che la repressione del ransomware si sta estendendo oltre le stesse gang criminali, fino ai fornitori di infrastrutture che silenziosamente le tengono in funzione. Per gli utenti comuni, il messaggio non è temere le VPN, ma scegliere servizi basati sulla trasparenza anziché sull'anonimato a noleggio.