Das First VPN Service war nicht einfach ein normales VPN-Unternehmen – es war eine speziell für kriminelle Zwecke konzipierte Infrastruktur. Das Netzwerk bot seinen Nutzern strikte Anonymität, akzeptierte nur Kryptowährungen und andere schwer nachzuverfolgbare Zahlungsmethoden wie Perfect Money und Webmoney, und versprach, keine Logs zu speichern, die eine Verbindung zwischen IP-Adresse und Nutzer ermöglichten. Abos kosteten zwischen 2 Dollar pro Tag bis 483 Dollar für ein Jahresabo.
Das Netzwerk wurde aktiv auf russischsprachigen Cybercrime-Foren wie Exploit.in und XSS.is beworden – ein klares Indiz für seine kriminelle Bestimmung. First VPN bot moderne Verschlüsselungstechnologien wie OpenVPN, WireGuard und das speziell entwickelte “VLESS-Reality”-Protokoll an, das VPN-Verkehr als gewöhnliches HTTPS-Traffic verkleiden konnte – eine Technik, um Firewalls und Überwachungssysteme zu umgehen.
Die 25 identifizierten Ransomware-Gruppen nutzten First VPN für Netzwerk-Aufklärung, Eindringversuche und schließlich für Lösegelderpressungen. Die Infrastruktur umfasste 32 Exit-Knoten in 27 Ländern – verteilt über Amerika, Europa, Asien und Australien, um globale Operationen zu ermöglichen. Drei dieser Knoten befanden sich in den USA, weitere in sensiblen Regionen wie Deutschland, Luxemburg und der Schweiz.
Die internationale Koordination war beeindruckend: Insgesamt 15 Nationen beteiligten sich an der Ermittlung, die 2021 begann. Während der Aktion im Mai führten Behörden ein Hausdurchsuchung in der Ukraine durch, befragten die Service-Administratoren und übernahmen umfangreiche Systeminfrastrukturen.
Besonders bemerkenswert ist, wie First VPN versuchte, sich rechtliche Deckung zu geben: Die Nutzungsbedingungen verboten angeblich “streng” illegale Aktivitäten. Dies war offensichtlich eine Fassade – wie Behörden dokumentiert haben, wurde das Service präzise als kriminelle Infrastruktur betrieben und vermarktet.
Die Operation demonstriert wachsende Fähigkeiten der internationalen Strafverfolgung, Cyberkriminalität zu bekämpfen. Gleichzeitig offenbart sie, wie hochentwickelt kriminelle Infrastrukturen geworden sind und wie sie gezielt deutsche und europäische Unternehmen gefährden.