Finanzministerium-Sanktionen gegen Ransomware-VPN legten versehentlich Telegram-Links weltweit lahm

Das US-Finanzministerium hat am 13. Juli einen Anbieter virtueller privater Netzwerke (VPN), dessen ukrainischen Administrator und einen belarussischen Verkäufer von Malware-Tools für die Ermöglichung von Ransomware-Angriffen auf amerikanische Krankenhäuser, Schulen, Unternehmen und Kommunalverwaltungen benannt — dies markiert das erste Mal, dass das OFAC offiziell einen VPN-Dienst wegen der Erleichterung von Cyberkriminalität sanktioniert hat. Die Maßnahme löste versehentlich einen globalen Ausfall der weit verbreiteten t.me-Kurzlink-Domain von Telegram aus.

Die Sanktionen

Das Office of Foreign Assets Control des Finanzministeriums benannte den First VPN Service (1VPNS), dessen 45-jährigen Administrator Dmytro Rashevskyi und Yegeniy Vladimirovich Silayev gemäß Executive Order 13694 in der geänderten Fassung, da sie cybergestützte Aktivitäten gegen US-Personen materiell unterstützt haben. Das Außenministerium erklärte, dass die benannten Akteure "Ransomware-Gruppen mit Tools versorgten, um ihre Identitäten zu verbergen, Schadsoftware zu tarnen und der Entdeckung zu entgehen — was Angriffe ermöglichte, die US-Anbietern kritischer Infrastruktur Verluste in Milliardenhöhe verursacht haben".treasury+1

Das Finanzministerium behauptete, dass Rashevskyi falsche Identitäten verwendete, um Infrastruktur für den Dienst zu erhalten, während Silayev Verschlüsselungstools verkaufte — Tools, die Ransomware als legitime Software tarnen, um Sicherheitssysteme zu umgehen. Laut TRM Labs konnten Zahlungen von Ransomware-Gruppen, darunter Anubis, Qilin und Sinobi Group, mittels Blockchain-Nachverfolgung mit FirstVPN in Verbindung gebracht werden. Die Aktion wurde mit dem Vereinigten Königreich koordiniert.trmlabs+3

Die Sanktionen folgen auf die Operation Saffron, eine gemeinsame Strafverfolgungsmaßnahme unter der Leitung von Frankreich und den Niederlanden mit Unterstützung von Europol, Eurojust und dem FBI, bei der 1VPNS zwischen dem 19. und 20. Mai zerschlagen, ein mutmaßlicher Administrator verhaftet und 33 Server beschlagnahmt wurden.cybernews+2

Telegram-Auswirkungen

Stunden nach der Veröffentlichung der Sanktionen hörte die t.me-Domain von Telegram auf, weltweit aufzulösen, nachdem das .me-Register — eine montenegrinische Länder-Domain, die von amerikanischen Unternehmen verwaltet wird — sie in den Status "serverHold" versetzte und sie aus dem globalen DNS entfernte. Die Sperre unterbrach den Zugriff auf jeden Einladungs-, Gruppen-, Kanal- und Bot-Link, der über t.me geteilt wurde, was die etwa eine Milliarde Nutzer von Telegram betraf, obwohl die Messaging-App selbst weiterhin funktionierte.hackread+1

Der Betreiber des .me-Registers bestätigte, dass er die Domain "aufgrund von OFAC-Compliance-Anforderungen" suspendiert hatte. TechCrunch berichtete am 14. Juli, dass die Domain nach etwa einem Tag Offline-Zeit wiederhergestellt wurde. Die Verbindung zwischen einer Anti-Ransomware-Sanktionsmaßnahme und der Kurzlink-Domain von Telegram bleibt unklar, obwohl einige Beobachter anmerkten, dass sanktionierte Einheiten t.me-Links in ihren Operationen verwendet haben könnten.webhosting+3

Breiterer Kontext

Die Benennung stellt eine Eskalation in der Strategie der US-Regierung dar, Ransomware-Ermöglicher ins Visier zu nehmen, anstatt nur die kriminellen Gruppen selbst. Durch die Sanktionierung von Infrastrukturanbietern zielt das Finanzministerium darauf ab, das Ökosystem zu stören, das es Ransomware-Betreibern ermöglicht, ihre Aktivitäten zu anonymisieren und der Strafverfolgung zu entgehen. Alle Vermögenswerte und Interessen der benannten Parteien innerhalb der Vereinigten Staaten oder im Besitz von US-Personen sind nun blockiert.trmlabs+1