Las sanciones del Tesoro a una VPN de ransomware interrumpieron accidentalmente los enlaces de Telegram en todo el mundo

El Departamento del Tesoro de EE. UU. designó el 13 de julio a un proveedor de red privada virtual, a su administrador ucraniano y a un vendedor de herramientas de malware bielorruso por facilitar ataques de ransomware contra hospitales, escuelas, empresas y gobiernos locales estadounidenses, marcando la primera vez que la OFAC sanciona formalmente a un servicio VPN por facilitar el cibercrimen. La acción provocó inadvertidamente una interrupción global del dominio de enlaces cortos t.me de Telegram.

Las sanciones

La Oficina de Control de Activos Extranjeros del Tesoro designó a First VPN Service (1VPNS), a su administrador de 45 años Dmytro Rashevskyi y a Yegeniy Vladimirovich Silayev bajo la Orden Ejecutiva 13694, enmendada, por ayudar materialmente a actividades cibernéticas dirigidas a personas estadounidenses. El Departamento de Estado dijo que los actores designados "proporcionaron a grupos de ransomware herramientas para ocultar sus identidades, disfrazar software malicioso y evadir la detección, permitiendo ataques que han causado miles de millones de dólares en pérdidas a proveedores de infraestructura crítica de EE. UU.".treasury+1

El Tesoro alegó que Rashevskyi utilizó identidades falsas para obtener infraestructura para el servicio, mientras que Silayev vendía cifradores, herramientas que disfrazan el ransomware como software legítimo para eludir los sistemas de seguridad. El rastreo de blockchain vinculó los pagos de grupos de ransomware, incluidos Anubis, Qilin y Sinobi Group, a FirstVPN, según TRM Labs. La acción fue coordinada con el Reino Unido.trmlabs+3

Las sanciones siguen a la Operación Saffron, un esfuerzo conjunto de aplicación de la ley liderado por Francia y los Países Bajos con el apoyo de Europol, Eurojust y el FBI, que desmanteló 1VPNS entre el 19 y el 20 de mayo, arrestando a un presunto administrador e incautando 33 servidores.cybernews+2

Consecuencias para Telegram

Horas después de que se publicaran las sanciones, el dominio t.me de Telegram dejó de resolverse en todo el mundo después de que el registro .me —un dominio de código de país de Montenegro administrado por empresas estadounidenses— lo colocara bajo un estado de "serverHold", eliminándolo del DNS global. La retención cortó el acceso a cada enlace de invitación, grupo, canal y bot compartido a través de t.me, afectando a los aproximadamente mil millones de usuarios de Telegram, aunque la aplicación de mensajería en sí continuó funcionando.hackread+1

El operador del registro .me confirmó que había suspendido el dominio "debido a los requisitos de cumplimiento de la OFAC". TechCrunch informó el 14 de julio que el dominio fue restaurado después de aproximadamente un día fuera de servicio. La conexión entre una acción de sanciones contra el ransomware y el dominio de enlaces cortos de Telegram sigue sin estar clara, aunque algunos observadores señalaron que las entidades sancionadas podrían haber utilizado enlaces t.me en sus operaciones.webhosting+3

Contexto más amplio

La designación representa una escalada en la estrategia del gobierno de EE. UU. de atacar a los facilitadores de ransomware en lugar de solo a los grupos criminales. Al sancionar a los proveedores de infraestructura, el Tesoro pretende interrumpir el ecosistema que permite a los operadores de ransomware anonimizar sus actividades y evadir a las fuerzas del orden. Todos los bienes e intereses de las partes designadas dentro de los Estados Unidos o en posesión de personas estadounidenses están ahora bloqueados.trmlabs+1