Минфин нацелился на VPN-инфраструктуру, стоящую за группировками вымогателей

Управление по контролю за иностранными активами (OFAC) Министерства финансов США ввело санкции против двух физических и одного юридического лица за содействие атакам вымогательского ПО на американские организации. Центральным объектом стал First VPN Service, известный как 1VPNS, — VPN-провайдер, обвиняемый в продаже хакерским группировкам инфраструктуры для анонимизации трафика. Его администратор, Дмитрий Рашевский, был назван вместе с продавцом криптеров вредоносного ПО — инструментов, маскирующих вредоносный код, чтобы он обходил антивирусы и системы обнаружения конечных точек.

Это примечательный шаг, поскольку обычно санкции вводятся против операторов вымогательского ПО, отмывателей криптовалюты или самих хакерских групп. Прямая атака на VPN-провайдера сигнализирует о том, что Минфин теперь рассматривает коммерческие сервисы анонимности как часть цепочки поставок вымогателей, а не просто как нейтральную инфраструктуру, которой преступники пользуются по случаю.

Почему VPN-провайдер попал в санкционный список

VPN — это легитимные инструменты конфиденциальности, которыми ежедневно пользуются миллионы людей в совершенно законных целях: защита данных в публичных Wi-Fi-сетях, безопасные удалённые рабочие подключения или просто скрытие истории просмотров от интернет-провайдеров и рекламодателей. Под прицел Минфина 1VPNS попал не из-за самого существования VPN-сервиса, а из-за обвинений в том, что он осознанно продавал доступ группировкам вымогателей, которые стремятся скрыть источник своих атак и избежать отслеживания правоохранительными органами.

Группировки вымогателей сильно зависят от многоуровневой инфраструктуры, позволяющей оставаться незамеченными: пуленепробиваемый хостинг, одноразовые домены, криптер-инструменты для сокрытия вредоносных нагрузок, а также цепочки VPN или прокси, чтобы замаскировать реальную точку запуска атаки. Продавец криптеров, названный в этом санкционном списке, по сообщениям, предоставлял именно такие услуги обфускации, помогая вредоносным нагрузкам проскальзывать мимо защитного ПО до развёртывания вымогательской программы. Одновременное введение санкций против VPN-провайдера и продавца криптеров бьёт сразу по двум разным звеньям этой цепи.

Стоит отметить, что злоупотребление инфраструктурой не ограничивается VPN и криптерами. Злоумышленники регулярно эксплуатируют уязвимости в широко распространённом серверном ПО, чтобы изначально получить точку опоры. Недавний эксплойт обхода аутентификации cPanel, поразивший десятки тысяч серверов, — хороший пример того, как быстро атакующие могут в массовом порядке использовать одну-единственную уязвимость, получая опору, которая позже может сочетаться с теми инструментами анонимизации и обфускации, на которые сейчас нацелен OFAC.

Что санкции на самом деле делают (и чего не делают)

Санкции OFAC запрещают американским физическим и юридическим лицам вести бизнес с названными субъектами и замораживают любые их активы под юрисдикцией США. На практике это значительно затрудняет для подсанкционного VPN-провайдера приём платежей через обычные финансовые каналы, поскольку банки и платёжные системы по закону обязаны разорвать отношения, как только введены санкции.

Санкции не отключают сервис в одночасье и не гарантируют, что решительно настроенные преступные клиенты не найдут замену. Но они повышают издержки и трение для операций вымогателей, которые полагаются на коммерческие инструменты, а не создают всё самостоятельно. В сочетании с ликвидациями силами правопорядка и международным сотрудничеством подобные акции постепенно разрушают экосистему, которая делает вымогательское ПО прибыльным.

Что это значит для вас

Если вы пользуетесь массовым, авторитетным VPN-сервисом для повседневной конфиденциальности, эта акция вас не касается. Легитимные VPN-провайдеры с прозрачными деловыми практиками, понятными политиками конфиденциальности и отсутствием связей с преступной клиентурой не являются здесь мишенью. Санкции направлены исключительно на провайдера, который, по версии властей, создан для обслуживания операторов вымогательского ПО, а не против всей VPN-индустрии.

Тем не менее, эта новость — полезное напоминание о необходимости проверять любой VPN-сервис, на который вы подписываетесь. Провайдеры с размытой информацией о владельцах, без опубликованной политики конфиденциальности или с историей присутствия на подпольных форумах — это тревожные сигналы, к которым стоит отнестись серьёзно. Надёжный VPN должен быть прозрачен в отношении того, кто им управляет, какие данные регистрируются и как сервис отвечает на юридические запросы.

Практические выводы

  • Придерживайтесь проверенных VPN-провайдеров, которые публикуют чёткие политики конфиденциальности и прошли независимый аудит.
  • Остерегайтесь VPN-сервисов, рекламируемых в первую очередь на подпольных форумах или позиционируемых как средство анонимности для незаконной деятельности.
  • Своевременно устанавливайте обновления для серверного ПО и панелей веб-хостинга, так как неисправленная инфраструктура остаётся частой точкой входа для группировок вымогателей.
  • Воспринимайте новости о санкциях как сигнал о том, как работает инфраструктура вымогателей за кулисами, а не как повод не доверять VPN в целом.

Действия Министерства финансов против First VPN Service показывают, что борьба с вымогательским ПО расширяется: теперь под удар попадают не только сами преступные группировки, но и инфраструктурные провайдеры, которые незаметно поддерживают их работу. Для обычных пользователей вывод не в том, чтобы бояться VPN, а в том, чтобы выбирать сервисы, построенные на прозрачности, а не на продаваемой анонимности.