Мінфін націлився на VPN-інфраструктуру, що стоїть за вимагацькими угрупованнями

Управління з контролю за іноземними активами (OFAC) Міністерства фінансів США запровадило санкції проти двох фізичних осіб та однієї юридичної особи за сприяння атакам програм-вимагачів на американські організації. У центрі цієї акції – First VPN Service, відомий як 1VPNS, VPN-провайдер, якого звинувачують у продажу анонімізуючої інфраструктури кіберзлочинним угрупованням. Його адміністратор, ідентифікований як Дмитро Рашевський, був названий разом із продавцем криптерів шкідливого ПЗ – інструментів, які маскують шкідливий код, щоб він проходив повз антивіруси та системи виявлення на кінцевих точках.

Це помітний крок, оскільки зазвичай санкції спрямовані проти операторів вимагацького ПЗ, відмивачів криптовалюти або самих хакерських груп. Пряме переслідування VPN-провайдера сигналізує про те, що Мінфін тепер розглядає комерційні сервіси анонімності як частину ланцюга постачання програм-вимагачів, а не лише як нейтральну інфраструктуру, яку злочинці випадково використовують.

Чому VPN-провайдер опинився у санкційному списку

VPN є законними інструментами приватності, якими щодня користуються мільйони людей із цілком легальних причин: захист даних у загальнодоступних Wi-Fi, безпечні віддалені з'єднання або просто приховування звичок перегляду від інтернет-провайдерів та рекламодавців. 1VPNS потрапив під приціл Мінфіну не через існування VPN-сервісу як такого, а через звинувачення в тому, що він свідомо продавав доступ вимагацьким угрупованням, які намагаються приховати джерело своїх атак і уникнути відстеження правоохоронними органами.

Вимагацькі групи сильно залежать від багатошарової інфраструктури, щоб залишатися прихованими: куленепробивний хостинг, одноразові домени, криптерні інструменти для приховування шкідливих корисних навантажень та ланцюжки VPN або проксі для маскування справжнього місця запуску атаки. Продавець криптерів, названий у цій акції, імовірно, надавав саме такі послуги обфускації, допомагаючи шкідливим корисним навантаженням прослизати повз захисне ПЗ до того, як буде розгорнуто програму-вимагач. Одночасне запровадження санкцій і проти VPN-провайдера, і проти продавця криптерів завдає удару одразу по двох різних ланках цього ланцюга.

Варто зазначити, що зловживання інфраструктурою не обмежується лише VPN та криптерами. Зловмисники постійно використовують уразливості в широко поширеному серверному програмному забезпеченні, щоб отримати початкову точку опори. Нещодавній експлойт обходу автентифікації cPanel, який вразив десятки тисяч серверів, є добрим прикладом того, як швидко атакувальники можуть використати одну-єдину вразливість у великому масштабі, отримуючи точку опори, яку згодом можна поєднати з інструментами анонімізації та обфускації, проти яких зараз спрямовані дії OFAC.

Що насправді роблять санкції (і чого не роблять)

Санкції OFAC блокують можливість американських фізичних та юридичних осіб вести справи із зазначеними особами та організацією, а також заморожують будь-які активи, що перебувають під юрисдикцією США. На практиці це значно ускладнює підсанкційному VPN-провайдеру обробку платежів через основні фінансові канали, оскільки банки та платіжні системи зобов'язані за законом розірвати зв'язки одразу після запровадження санкцій.

Санкції не припиняють роботу сервісу миттєво і не обов'язково завадять рішуче налаштованим злочинним клієнтам знайти альтернативних постачальників. Однак вони підвищують витрати та створюють перешкоди для вимагацьких операцій, які покладаються на комерційні інструменти, а не будують усе власними силами. У поєднанні з ліквідацією силами правопорядку та міжнародною співпрацею такі заходи поступово руйнують екосистему, яка забезпечує прибутковість програм-вимагачів.

Що це означає для вас

Якщо ви користуєтеся популярним, авторитетним VPN-сервісом для повсякденного захисту приватності, цей захід жодним чином вас не стосується. Легальні VPN-провайдери з прозорими методами ведення бізнесу, чіткими політиками приватності та відсутністю зв'язків зі злочинною клієнтурою не є мішенню. Санкції спрямовані саме на провайдера, який, імовірно, був створений для обслуговування операторів вимагацького ПЗ, а не на індустрію VPN загалом.

Попри це, новина є добрим нагадуванням про те, що слід перевіряти будь-який VPN-сервіс, якому ви довіряєтеся. Провайдери з розмитою інформацією про власників, без опублікованої політики приватності або з історією появи на підпільних форумах – це червоні прапорці, до яких варто ставитися серйозно. Надійний VPN має бути прозорим щодо того, хто ним керує, які дані він записує і як відповідає на правові запити.

Практичні висновки

  • Обирайте перевірених VPN-провайдерів, які публікують чіткі політики приватності та мають досвід незалежних аудитів.
  • Ставтеся з обережністю до VPN-сервісів, які рекламуються переважно на підпільних форумах або позиціонуються як інструмент анонімності для незаконної діяльності.
  • Своєчасно встановлюйте оновлення на серверне ПЗ та панелі веб-хостингу, оскільки неоновлена інфраструктура залишається поширеною точкою входу для вимагацьких угруповань.
  • Сприймайте новини про санкції як сигнал про те, як працює інфраструктура вимагачів за лаштунками, а не як привід не довіряти VPN загалом.

Дії Міністерства фінансів проти First VPN Service показують, що боротьба з програмами-вимагачами розширюється за межі самих злочинних угруповань, охоплюючи постачальників інфраструктури, які непомітно підтримують їхню роботу. Для звичайних користувачів висновок полягає не в тому, щоб боятися VPN, а в тому, щоб обирати сервіси, побудовані на прозорості, а не на анонімності, яку купують за гроші.