Departament Skarbu bierze na cel infrastrukturę VPN stojącą za gangami ransomware

Biuro Kontroli Aktywów Zagranicznych (OFAC) Departamentu Skarbu USA nałożyło sankcje na dwie osoby i jeden podmiot za umożliwianie ataków ransomware na amerykańskie organizacje. W centrum tych działań znalazła się usługa First VPN Service, znana jako 1VPNS, dostawca VPN oskarżony o sprzedawanie infrastruktury anonimizującej grupom cyberprzestępczym. Jej administrator, zidentyfikowany jako Dmytro Rashevskyi, został wymieniony obok sprzedawcy kryptorów malware – narzędzi używanych do maskowania złośliwego kodu, aby wymykał się systemom antywirusowym i wykrywającym zagrożenia na punktach końcowych.

To godny uwagi ruch, ponieważ sankcje zazwyczaj są wymierzone w operatorów ransomware, podmioty piorące kryptowaluty lub same grupy hakerskie. Bezpośrednie uderzenie w dostawcę VPN sygnalizuje, że Departament Skarbu postrzega teraz komercyjne usługi anonimizujące jako część łańcucha dostaw ransomware, a nie tylko neutralną infrastrukturę, z której przypadkowo korzystają przestępcy.

Dlaczego dostawca VPN znalazł się na liście sankcyjnej

VPN-y to legalne narzędzia do ochrony prywatności, używane codziennie przez miliony ludzi z całkowicie legalnych powodów: ochrony danych w publicznych sieciach Wi-Fi, zabezpieczania połączeń do pracy zdalnej czy po prostu ukrywania nawyków przeglądania przed dostawcami internetu i reklamodawcami. To, co umieściło 1VPNS na celowniku Departamentu Skarbu, nie było faktem istnienia usługi VPN, ale zarzut, że świadomie sprzedawała ona dostęp grupom ransomware, które chciały zamaskować źródło swoich ataków i uniknąć namierzania przez organy ścigania.

Ekipy ransomware w dużym stopniu polegają na warstwowej infrastrukturze, aby pozostać w ukryciu: hostingu odpornym na działania organów ścigania, jednorazowych domenach, narzędziach kryptorowych do ukrywania ładunków malware oraz łańcuchach VPN lub proxy, aby ukryć miejsce, z którego faktycznie przeprowadzany jest atak. Sprzedawca kryptorów wymieniony w tej akcji rzekomo dostarczał dokładnie ten rodzaj usługi zaciemniania, pomagając złośliwym ładunkom prześlizgiwać się obok oprogramowania zabezpieczającego przed wdrożeniem ransomware. Nałożenie sankcji jednocześnie na dostawcę VPN i sprzedawcę kryptorów w ramach tej samej akcji uderza w dwa różne ogniwa tego łańcucha jednocześnie.

Warto zauważyć, że nadużywanie infrastruktury nie ogranicza się do VPN-ów i kryptorów. Atakujący rutynowo wykorzystują luki w powszechnie używanym oprogramowaniu serwerowym, aby zdobyć początkowy dostęp. Niedawny exploit omijający uwierzytelnianie w cPanel, który dotknął dziesiątki tysięcy serwerów, jest dobrym przykładem tego, jak szybko atakujący mogą wykorzystać pojedynczą lukę na masową skalę, zdobywając przyczółek, który później może być połączony z narzędziami anonimizującymi i zaciemniającymi, na które obecnie celuje OFAC.

Co sankcje faktycznie robią (a czego nie)

Sankcje OFAC uniemożliwiają osobom i firmom z USA prowadzenie interesów z wymienionymi osobami i podmiotem oraz zamrażają wszelkie aktywa, które posiadają one pod jurysdykcją USA. W praktyce znacznie utrudnia to objętemu sankcjami dostawcy VPN przetwarzanie płatności za pośrednictwem głównych kanałów finansowych, ponieważ banki i podmioty przetwarzające płatności są prawnie zobowiązane do zerwania więzi po wydaniu sankcji.

Sankcje nie zamykają usługi z dnia na dzień i niekoniecznie powstrzymują zdeterminowanych klientów przestępczych przed znalezieniem dostawców zastępczych. Zwiększają jednak koszty i tarcia dla operacji ransomware, które polegają na komercyjnych narzędziach, zamiast budować wszystko samodzielnie. W połączeniu z działaniami organów ścigania i współpracą międzynarodową, tego typu akcje osłabiają ekosystem, który utrzymuje opłacalność ransomware.

Co to oznacza dla Ciebie

Jeśli korzystasz z popularnej, renomowanej usługi VPN do codziennej ochrony prywatności, ta akcja nie ma na Ciebie wpływu. Legalni dostawcy VPN z przejrzystymi praktykami biznesowymi, jasną polityką prywatności i bez powiązań z przestępczą klientelą nie są tutaj celem. Sankcje są wymierzone bezpośrednio w dostawcę rzekomo stworzonego do obsługi operatorów ransomware, a nie w szerszą branżę VPN.

To powiedziawszy, ta wiadomość jest użytecznym przypomnieniem, aby sprawdzać każdą usługę VPN, na którą się zapisujesz. Dostawcy z niejasnymi informacjami o własności, bez opublikowanej polityki prywatności lub z historią powiązań z forami podziemnymi to poważne sygnały ostrzegawcze. Godny zaufania VPN powinien być przejrzysty co do tego, kto nim zarządza, jakie dane rejestruje i jak odpowiada na wnioski prawne.

Praktyczne wnioski

  • Trzymaj się uznanych dostawców VPN, którzy publikują jasną politykę prywatności i mają udokumentowaną historię niezależnych audytów.
  • Bądź ostrożny wobec usług VPN reklamowanych głównie na forach podziemnych lub sprzedawanych jako anonimowość do nielegalnych działań.
  • Aktualizuj niezwłocznie oprogramowanie serwerowe i panele hostingowe, ponieważ niezałatana infrastruktura pozostaje powszechnym punktem wejścia dla ekip ransomware.
  • Traktuj wiadomości o sankcjach jako sygnał, jak działa infrastruktura ransomware za kulisami, a nie jako powód do ogólnej nieufności wobec VPN-ów.

Działania Departamentu Skarbu przeciwko First VPN Service pokazują, że działania przeciwko ransomware wykraczają poza same gangi przestępcze, obejmując również dostawców infrastruktury, którzy po cichu utrzymują ich działalność. Dla zwykłych użytkowników wniosek nie jest taki, by bać się VPN-ów, ale by wybierać usługi zbudowane na przejrzystości, a nie na anonimowości do wynajęcia.