Europejskie i północnoamerykańskie służby ścigania rozbiły First VPN Service, przestępczą platformę wirtualnej sieci prywatnej, która według śledczych była wykorzystywana przez cyberprzestępców do ukrywania źródła ataków ransomware, kradzieży danych, aktywności skanującej, oszustw i operacji typu odmowa usługi (DoS).
Międzynarodowa akcja o kryptonimie Operacja Saffron była prowadzona pod przewodnictwem Francji i Holandii przy wsparciu wielu krajów, w tym Luksemburga, Rumunii, Szwajcarii, Ukrainy, Wielkiej Brytanii, Kanady, Niemiec, Stanów Zjednoczonych, Hiszpanii, Szwecji, Danii, Estonii, Łotwy, Litwy, Polski i Portugalii.
Rozbicie tej usługi to kolejne przypomnienie, że cyberprzestępczość nie opiera się wyłącznie na malware. Przestępcza infrastruktura — w tym VPN-y, proxy, hosting typu bulletproof, szyfrowana komunikacja i usługi anonimizujące — odgrywa dużą rolę w umożliwianiu ataków na masową skalę.
Czym był First VPN?
First VPN Service był reklamowany jako platforma VPN nastawiona na anonimowość. Według Europolu i innych organów usługa została jednak zaprojektowana i promowana specjalnie z myślą o użyciu przestępczym.
Miała ona rzekomo umożliwiać klientom ukrywanie tożsamości podczas przeprowadzania:
- ataków ransomware
- oszustw na dużą skalę
- rozpoznania sieci
- włamań
- kradzieży danych
- aktywności skanującej
- ataków typu odmowa usługi
Usługa była promowana na rosyjskojęzycznych forach cyberprzestępczych, takich jak Exploit[.]in i XSS[.]is, gdzie reklamowano ją jako sposób na unikanie organów ścigania i ukrywanie infrastruktury atakujących.
First VPN twierdził, że nie współpracuje z organami wymiaru sprawiedliwości, nie przechowuje logów aktywności i nie podlega żadnej jurysdykcji. Te deklaracje były kluczowe dla jego atrakcyjności wśród użytkowników-cyberprzestępców.
Operacja Saffron udowodniła, że ta obietnica była niewiarygodna.
Międzynarodowa akcja rozbicia usługi
Skoordynowane działania egzekucyjne odbyły się w dniach od 19 do 20 maja.
Organy ścigania przeprowadziły jednocześnie kilka czynności, w tym:
- przesłuchanie administratora usługi
- przeszukanie domu na Ukrainie
- wyłączenie 33 serwerów
- zajęcie infrastruktury wykorzystywanej do wspierania globalnej działalności cyberprzestępczej
- przejęcie powiązanych domen i usług onion w sieci Tor
Zajęte domeny obejmowały:
1vpns[.]com1vpns[.]net1vpns[.]org- powiązane domeny onion działające w sieci Tor
Europol poinformował także, że użytkownicy First VPN zostali powiadomieni o zamknięciu usługi i ostrzeżeni, że ich tożsamość jest już znana organom ścigania.
To ważny przekaz psychologiczny i operacyjny. Przestępcy korzystający z VPN mogą sądzić, że usługi anonimizujące ich chronią, ale po objęciu śledztwem lub zajęciu usługi te mogą stać się punktami ekspozycji.
Długo działająca usługa przestępcza
Według FBI First VPN działał od około 2014 r., co czyniło go długotrwałym elementem ekosystemu cyberprzestępczego.
Usługa miała podobno 32 serwery węzłów wyjściowych w 27 krajach, w tym trzy w Stanach Zjednoczonych.
Pozostałe węzły wyjściowe znajdowały się w takich krajach jak Australia, Austria, Belgia, Kanada, Cypr, Finlandia, Francja, Niemcy, Hongkong, Włochy, Łotwa, Luksemburg, Mołdawia, Holandia, Panama, Polska, Rumunia, Rosja, Serbia, Singapur, Hiszpania, Szwecja, Szwajcaria, Turcja, Ukraina i Wielka Brytania.
Ten globalny zasięg pozwalał użytkownikom kierować złośliwą aktywność przez różne jurysdykcje i maskować rzeczywiste źródło ataków.
Używany przez grupy ransomware
FBI poinformowało, że co najmniej 25 grup ransomware, w tym podmioty powiązane z Avaddon Ransomware, korzystało z infrastruktury First VPN do rozpoznania i włamań.
Pokazuje to, jak usługi anonimizujące mogą wspierać wczesne etapy operacji ransomware.
Zanim ransomware zostanie wdrożony, atakujący często muszą:
- skanować wystawione systemy
- sondować usługi VPN i RDP
- testować wykradzione poświadczenia
- uzyskać dostęp do sieci ofiar
- przemieszczać się bocznie
- przygotować narzędzia
- eksfiltrować dane
- przygotować szyfrowanie lub działania wymuszeniowe
Przestępczy VPN pomaga ukryć źródło tych działań. Daje atakującym warstwę oddzielającą ich rzeczywistą infrastrukturę od środowiska ofiary.
Tani dostęp do przestępczej infrastruktury
First VPN był także łatwo dostępny i niedrogi.
Okresy subskrypcji wahały się od jednego dnia do jednego roku, a ceny podobno zaczynały się od około 2 USD za pojedynczy dzień i sięgały około 483 USD za cały rok.
Usługa akceptowała kilka metod płatności, w tym:
- Bitcoin
- Perfect Money
- WebMoney
- EgoPay
- InterKassa
Ten niskokosztowy model udostępniał zanonimizowaną infrastrukturę nawet mniej zaawansowanym cyberprzestępcom. Zamiast budować własną złożoną infrastrukturę, atakujący mogli po prostu kupić tymczasowy dostęp.
Dlatego rozbijanie usług takich jak First VPN ma znaczenie. Zakłóca ono „gotowe do użycia” usługi przestępcze, które obniżają próg wejścia do ransomware i oszustw.
Funkcje techniczne zaprojektowane z myślą o unikaniu wykrycia
First VPN oferował kilka protokołów VPN i tunelowania, w tym:
- OpenConnect
- WireGuard
- Outline
- VLess TCP Reality
- OpenVPN ECC
- L2TP/IPSec
- PPTP
FBI zwróciło uwagę, że First VPN oferował protokoły takie jak VLESS i Reality, które mogą maskować ruch VPN jako ruch HTTPS na popularnych portach WWW.
Ma to znaczenie, ponieważ wiele organizacji domyślnie zezwala na wychodzący ruch HTTPS. Jeśli złośliwy ruch VPN może wyglądać jak normalny ruch webowy, obrońcom trudniej go wykryć i zablokować.
Usługa zapewniała też podobno wsparcie techniczne za pośrednictwem własnego serwera Jabber i szyfrowanego komunikatora Telegram.
Innymi słowy, First VPN nie był po prostu narzędziem do ochrony prywatności. Według śledczych była to usługa infrastrukturalna z obsługą wsparcia dla osób popełniających cyberprzestępstwa.
Dlaczego rozbijanie przestępczych usług VPN ma znaczenie
Operacje cyberprzestępcze zależą od infrastruktury.
Malware, zestawy phishingowe, wykradzione poświadczenia i ładunki ransomware to tylko część obrazu. Atakujący potrzebują też sposobów na ukrywanie się, kierowanie ruchu, komunikację, hostowanie ładunków, odbieranie wykradzionych danych i utrzymywanie dostępu.
Przestępcze usługi VPN pomagają atakującym:
- maskować swoje prawdziwe adresy IP
- omijać blokady geograficzne
- unikać prostego wykrywania opartego na reputacji
- kierować ruch przez regiony wyglądające na zaufane
- prowadzić skanowanie na dużą skalę
- uzyskiwać dostęp do sieci ofiar zanonimizowanymi ścieżkami
- zmniejszać szansę na atrybucję
Rozbicie takich usług nie eliminuje cyberprzestępczości, ale podnosi koszt prowadzenia tej działalności.
Atakujący muszą znaleźć nowych dostawców, odbudować infrastrukturę, zmienić sposób pracy i zaakceptować większe ryzyko operacyjne.
Rola Bitdefender i szerszy wpływ
Bitdefender wsparł śledztwo za pośrednictwem Europolu i przekazał informacje powiązane z 506 użytkownikami.
Firma zaznaczyła, że choć nowe usługi anonimizujące będą się nadal pojawiać, każde rozbicie skraca okno operacyjne następnej usługi i zwiększa ryzyko dla przestępców, którzy polegają na gotowej infrastrukturze.
Ten punkt jest ważny.
Cyberprzestępczość to ekosystem. Obejmuje twórców malware, brokerów dostępu, afilianty ransomware, osoby piorące pieniądze, operatorów phishingu, dostawców hostingu i usługi anonimizujące. Zakłócenie jednego elementu tego ekosystemu może sprawić, że cały łańcuch będzie mniej wydajny.
Operacja Saffron wysyła jasny sygnał: usługi, które reklamują przestępcom „brak współpracy” i „brak logów”, nadal mogą zostać zidentyfikowane, zajęte i zdemaskowane.
Wnioski obronne dla organizacji
Rozbicie usługi dostarcza również wniosków dla obrońców.
Organizacje nie powinny polegać wyłącznie na blokowaniu znanych złośliwych adresów IP. Przestępcza infrastruktura VPN często się zmienia, a atakujący mogą korzystać z usług komercyjnych lub półkomercyjnych, aby rotować punkty dostępu.
Zespoły ds. bezpieczeństwa powinny skupić się na zachowaniu i kontekście.
Zalecane działania obejmują:
- monitoruj powtarzające się próby logowania od nietypowych dostawców VPN lub hostingu
- ustaw alerty dla niemożliwej podróży i podejrzanych zmian lokalizacji geograficznej
- ogranicz dostęp do portali administracyjnych do zaufanych lokalizacji lub urządzeń
- egzekwuj MFA odporne na phishing dla VPN, RDP, chmury i dostępu uprzywilejowanego
- przeglądaj nieudane i udane próby uwierzytelnienia z usług anonimizujących
- monitoruj wzorce skanowania wymierzonego w systemy wystawione do internetu
- blokuj niepotrzebną ekspozycję na ruch przychodzący
- stosuj rygorystyczne polityki dostępu warunkowego
- korzystaj z kanałów informacji o zagrożeniach dotyczących znanej infrastruktury proxy i VPN
- badaj nietypowe transfery danych z systemów wewnętrznych do hostów zewnętrznych
- segmentuj systemy krytyczne, aby ograniczyć przemieszczanie się po włamaniu
Organizacje powinny też ostrożnie traktować ruch pochodzący z VPN. Nie każde użycie VPN jest złośliwe, ale dostęp administracyjny z sieci anonimizujących należy uznać za wysokiego ryzyka, o ile nie został jawnie zatwierdzony.
Dlaczego redukcja powierzchni ataku nadal ma znaczenie
Przestępcze usługi VPN są przydatne dla atakujących, ponieważ wspierają pierwsze etapy włamania: skanowanie, sondowanie, testowanie poświadczeń i uzyskiwanie początkowego dostępu.
Ograniczanie liczby wystawionych usług pozostaje jednym z najlepszych sposobów na zmniejszenie okazji do ataku.
Organizacje powinny regularnie przeglądać:
- wystawiony RDP
- wystawione portale VPN
- nieaktualne zapory sieciowe
- podatne urządzenia brzegowe
- panele administracyjne dostępne z internetu
- niezałatane aplikacje webowe
- wystawione usługi chmurowe
- słabe mechanizmy kontroli zdalnego dostępu
Jeśli atakujący nie mogą łatwo dotrzeć do podatnych usług, infrastruktura anonimizująca staje się dla nich mniej wartościowa.
Podsumowanie
Operacja Saffron to istotne zakłócenie przestępczej infrastruktury wykorzystywanej przez operatorów ransomware i innych cyberprzestępców.
First VPN rzekomo obiecywał anonimowość, brak współpracy z organami ścigania i ochronę przed atrybucją. Międzynarodowa akcja pokazała, że te gwarancje mogą runąć pod wpływem skoordynowanej presji organów ścigania.
Operacja nie zakończy nadużywania przestępczych usług VPN i pojawią się nowe usługi. Jednak każde rozbicie zwiększa niepewność atakujących i podnosi koszt bezpiecznego działania.
Dla obrońców wniosek jest jasny: zapobieganie ransomware to nie tylko wykrywanie malware. To także utwardzanie punktów dostępu, monitorowanie podejrzanej infrastruktury i zrozumienie, w jaki sposób atakujący wykorzystują usługi anonimizujące, aby dotrzeć do swoich celów.
