Finansdepartementets sanktioner mot ransomware-VPN bröt av misstag Telegram-länkar världen över

Det amerikanska finansdepartementet utsåg den 13 juli en leverantör av virtuella privata nätverk (VPN), dess ukrainska administratör och en vitrysk säljare av skadliga verktyg för att ha möjliggjort ransomware-attacker mot amerikanska sjukhus, skolor, företag och lokala myndigheter — vilket markerar första gången OFAC formellt har sanktionerat en VPN-tjänst för att underlätta cyberbrottslighet. Åtgärden utlöste oavsiktligt ett globalt avbrott av Telegrams flitigt använda t.me-kortlänksdomän.

Sanktionerna

Finansdepartementets Office of Foreign Assets Control utsåg First VPN Service (1VPNS), dess 45-årige administratör Dmytro Rashevskyi, och Yegeniy Vladimirovich Silayev enligt Executive Order 13694, med ändringar, för att ha gett materiellt stöd till nätverksbaserade aktiviteter riktade mot amerikanska personer. Utrikesdepartementet uppgav att de utsedda aktörerna "försåg ransomware-grupper med verktyg för att dölja sina identiteter, maskera skadlig programvara och undvika upptäckt — vilket möjliggjorde attacker som orsakat miljarder dollar i förluster för amerikanska leverantörer av kritisk infrastruktur".treasury+1

Finansdepartementet hävdade att Rashevskyi använde falska identiteter för att skaffa infrastruktur till tjänsten, medan Silayev sålde krypteringsverktyg — verktyg som maskerar ransomware som legitim programvara för att kringgå säkerhetssystem. Blockkedjespårning kopplade betalningar från ransomware-grupper, inklusive Anubis, Qilin och Sinobi Group, till FirstVPN, enligt TRM Labs. Åtgärden samordnades med Storbritannien.trmlabs+3

Sanktionerna följer Operation Saffron, en gemensam brottsbekämpningsinsats ledd av Frankrike och Nederländerna med stöd från Europol, Eurojust och FBI, som monterade ner 1VPNS mellan den 19 och 20 maj, arresterade en misstänkt administratör och beslagtog 33 servrar.cybernews+2

Telegram-konsekvenser

Timmar efter att sanktionerna publicerades slutade Telegrams t.me-domän att fungera världen över efter att .me-registret — en montenegrinsk landskodsdomän som administreras av amerikanska företag — placerade den under en "serverHold"-status och tog bort den från global DNS. Spärren bröt åtkomsten till alla inbjudnings-, grupp-, kanal- och bot-länkar som delats via t.me, vilket påverkade Telegrams ungefär en miljard användare, även om själva meddelandeappen fortsatte att fungera.hackread+1

Operatören av .me-registret bekräftade att de hade stängt av domänen "på grund av OFAC-efterlevnadskrav". TechCrunch rapporterade den 14 juli att domänen återställdes efter ungefär ett dygn offline. Kopplingen mellan en sanktionsåtgärd mot ransomware och Telegrams kortlänksdomän förblir oklar, även om vissa observatörer noterade att sanktionerade enheter kan ha använt t.me-länkar i sina operationer.webhosting+3

Bredare kontext

Utnämningen representerar en upptrappning i den amerikanska regeringens strategi att rikta in sig på möjliggörare av ransomware snarare än bara de kriminella grupperna själva. Genom att sanktionera infrastrukturleverantörer syftar finansdepartementet till att störa det ekosystem som tillåter ransomware-operatörer att anonymisera sina aktiviteter och undvika brottsbekämpning. All egendom och alla intressen för de utsedda parterna inom USA eller i besittning av amerikanska personer är nu blockerade.trmlabs+1