Trezoreria vizează infrastructura VPN din spatele bandelor de ransomware

Biroul pentru Controlul Activelor Străine (OFAC) al Departamentului Trezoreriei SUA a sancționat două persoane și o entitate pentru facilitarea atacurilor ransomware împotriva organizațiilor din SUA. În centrul acțiunii se află First VPN Service, cunoscut sub numele de 1VPNS, un furnizor VPN acuzat că a vândut infrastructură de anonimizare grupărilor infracționale cibernetice. Administratorul său, identificat drept Dmytro Rashevskyi, a fost numit alături de un vânzător de criptoare de malware, instrumente folosite pentru a deghiza codul malițios, astfel încât să ocolească antivirusurile și sistemele de detecție endpoint.

Aceasta este o mișcare notabilă, deoarece sancțiunile vizează de obicei operatorii de ransomware, spălătorii de criptomonede sau grupurile de hackeri în sine. Vizarea directă a unui furnizor VPN semnalează că Trezoreria consideră acum serviciile comerciale de anonimat ca parte a lanțului de aprovizionare ransomware, nu doar o infrastructură neutră pe care infractorii se întâmplă să o folosească.

De ce a ajuns un furnizor VPN pe lista de sancțiuni

VPN-urile sunt instrumente legitime de confidențialitate folosite zilnic de milioane de oameni din motive perfect legale: protejarea datelor pe Wi-Fi public, securizarea conexiunilor de lucru la distanță sau pur și simplu păstrarea confidențialității obiceiurilor de navigare față de furnizorii de internet și agenții de publicitate. Ceea ce a pus 1VPNS în vizorul Trezoreriei nu a fost existența unui serviciu VPN, ci acuzația că a vândut cu bună știință acces grupurilor de ransomware care caută să mascheze originea atacurilor lor și să se sustragă urmăririi de către forțele de ordine.

Echipajele de ransomware depind în mare măsură de o infrastructură stratificată pentru a rămâne ascunse: găzduire blindată, domenii de unică folosință, instrumente de criptare pentru a ascunde încărcăturile malware și lanțuri VPN sau proxy pentru a ascunde locul de unde este lansat efectiv un atac. Vânzătorul de criptoare numit în această acțiune ar fi furnizat exact acest tip de serviciu de obfuscare, ajutând încărcăturile malițioase să treacă de software-ul de securitate înainte ca ransomware-ul să poată fi implementat. Sancționarea atât a furnizorului VPN, cât și a vânzătorului de criptoare în aceeași acțiune vizează simultan două verigi diferite ale acestui lanț.

Este de remarcat că abuzul de infrastructură nu se limitează la VPN-uri și criptoare. Atacatorii exploatează în mod obișnuit vulnerabilități ale software-ului de server utilizat pe scară largă pentru a obține inițial acces. Recentul exploatare a ocolirii autentificării cPanel care a afectat zeci de mii de servere este un bun exemplu al cât de rapid pot atacatorii să transforme o singură vulnerabilitate într-o armă la scară largă, oferindu-le un punct de sprijin care poate fi ulterior combinat cu instrumentele de anonimizare și obfuscare vizate acum de OFAC.

Ce fac (și ce nu fac) sancțiunile

Sancțiunile OFAC blochează persoanele și companiile din SUA să facă afaceri cu persoanele și entitatea numite și îngheață orice active deținute de acestea sub jurisdicția SUA. În practică, acest lucru face mult mai dificil pentru un furnizor VPN sancționat să proceseze plăți prin canale financiare obișnuite, deoarece băncile și procesatorii de plăți sunt obligați legal să rupă legăturile odată ce o sancțiune este emisă.

Sancțiunile nu închid un serviciu peste noapte și nu împiedică neapărat clienții infractori determinați să găsească furnizori alternativi. Dar ele cresc costurile și fricțiunea pentru operațiunile ransomware care se bazează pe instrumente comerciale în loc să construiască totul intern. Combinate cu acțiunile de destructurare ale forțelor de ordine și cooperarea internațională, astfel de acțiuni erodează ecosistemul care menține ransomware-ul profitabil.

Ce înseamnă acest lucru pentru tine

Dacă folosești un serviciu VPN de renume, mainstream, pentru confidențialitatea de zi cu zi, această acțiune nu te afectează. Furnizorii VPN legitimi, cu practici de afaceri transparente, politici clare de confidențialitate și fără legături cu clientela infracțională nu sunt vizați aici. Sancțiunile se îndreaptă direct către un furnizor despre care se presupune că a fost construit pentru a servi operatorii de ransomware, nu industria VPN în general.

Acestea fiind spuse, această știre este un memento util pentru a verifica orice serviciu VPN la care te abonezi. Furnizorii cu informații vagi despre proprietari, fără o politică de confidențialitate publicată sau cu un istoric de asociere cu forumuri underground sunt semnale de alarmă care merită luate în serios. Un VPN de încredere ar trebui să fie transparent cu privire la cine îl conduce, ce date înregistrează și cum răspunde la solicitările legale.

Concluzii practice

  • Rămâi la furnizori VPN consacrați, care publică politici clare de confidențialitate și au un istoric de audituri independente.
  • Fii precaut cu serviciile VPN promovate în principal pe forumuri underground sau comercializate pentru anonimat în activități ilicite.
  • Menține la zi corecțiile pentru software-ul de server și panourile de găzduire web, deoarece infrastructura nepeticită rămâne un punct de intrare comun pentru echipele de ransomware.
  • Tratează știrile despre sancțiuni ca pe un semnal al modului în care funcționează infrastructura ransomware în spatele scenei, nu ca pe un motiv de a nu avea încredere în VPN-uri în general.

Acțiunea Departamentului Trezoreriei împotriva First VPN Service arată că represiunea împotriva ransomware-ului se extinde dincolo de bandele infracționale în sine, către furnizorii de infrastructură care le mențin în funcțiune în liniște. Pentru utilizatorii obișnuiți, concluzia nu este să se teamă de VPN-uri, ci să aleagă servicii construite pe transparență, nu pe anonimat la comandă.