Finansdepartementets sanksjoner mot løsepengevirus-VPN brøt ved et uhell Telegram-lenker over hele verden

Det amerikanske finansdepartementet utpekte 13. juli en leverandør av virtuelle private nettverk (VPN), deres ukrainske administrator og en belarusisk selger av skadevareverktøy for å legge til rette for løsepengevirusangrep mot amerikanske sykehus, skoler, bedrifter og lokale myndigheter — dette markerer første gang OFAC formelt har sanksjonert en VPN-tjeneste for å legge til rette for nettkriminalitet. Handlingen utløste utilsiktet et globalt avbrudd av Telegrams mye brukte t.me-kortlenkedomene.

Sanksjonene

Finansdepartementets Office of Foreign Assets Control utpekte First VPN Service (1VPNS), deres 45 år gamle administrator Dmytro Rashevskyi, og Yegeniy Vladimirovich Silayev under Executive Order 13694, med endringer, for å ha gitt materiell bistand til nettbaserte aktiviteter rettet mot amerikanske personer. Utenriksdepartementet uttalte at de utpekte aktørene "forsynte løsepengevirusgrupper med verktøy for å skjule identiteten deres, maskere skadelig programvare og unngå oppdagelse — noe som muliggjorde angrep som har forårsaket milliarder av dollar i tap for amerikanske leverandører av kritisk infrastruktur".treasury+1

Finansdepartementet hevdet at Rashevskyi brukte falske identiteter for å skaffe infrastruktur til tjenesten, mens Silayev solgte krypteringsverktøy — verktøy som maskerer løsepengevirus som legitim programvare for å omgå sikkerhetssystemer. Blokkjede-sporing knyttet betalinger fra løsepengevirusgrupper, inkludert Anubis, Qilin og Sinobi Group, til FirstVPN, ifølge TRM Labs. Handlingen ble koordinert med Storbritannia.trmlabs+3

Sanksjonene følger Operation Saffron, en felles rettshåndhevelsesinnsats ledet av Frankrike og Nederland med støtte fra Europol, Eurojust og FBI, som demonterte 1VPNS mellom 19. og 20. mai, arresterte en mistenkt administrator og beslagla 33 servere.cybernews+2

Telegram-konsekvenser

Timer etter at sanksjonene ble publisert, sluttet Telegrams t.me-domene å fungere over hele verden etter at .me-registeret — et montenegrinsk landskodedomene administrert av amerikanske selskaper — plasserte det under en "serverHold"-status, og fjernet det fra global DNS. Sperringen kuttet tilgangen til alle invitasjons-, gruppe-, kanal- og bot-lenker delt via t.me, noe som påvirket Telegrams omtrent én milliard brukere, selv om selve meldingsappen fortsatte å fungere.hackread+1

Operatøren av .me-registeret bekreftet at de hadde suspendert domenet "på grunn av OFAC-samsvarskrav". TechCrunch rapporterte 14. juli at domenet ble gjenopprettet etter omtrent ett døgn nede. Forbindelsen mellom en sanksjonshandling mot løsepengevirus og Telegrams kortlenkedomene forblir uklar, selv om enkelte observatører bemerket at sanksjonerte enheter kan ha brukt t.me-lenker i sine operasjoner.webhosting+3

Bredere kontekst

Utpekingen representerer en opptrapping i den amerikanske regjeringens strategi med å målrette seg mot tilretteleggere av løsepengevirus fremfor bare selve kriminelle gruppene. Ved å sanksjonere infrastrukturleverandører, har finansdepartementet som mål å forstyrre økosystemet som lar løsepengevirusoperatører anonymisere aktivitetene sine og unngå rettshåndhevelse. All eiendom og alle interesser til de utpekte partene i USA eller i besittelse av amerikanske personer er nå blokkert.trmlabs+1