Internationale Razzia gegen kriminellen VPN-Dienst „First VPN" – von 25 Ransomware-Gruppen genutzt

Zusammenfassung

Strafverfolgungsbehörden in Europa und Nordamerika haben einen kriminellen VPN-Dienst zerschlagen, mit dem Angreifer die Herkunft von Ransomware-Attacken, Datendiebstahl, Netzwerk-Scans und Denial-of-Service-Angriffen verschleierten. Die Abschaltung von First VPN führten Frankreich und die Niederlande an; seit Dezember 2021 unterstützten zahlreiche weitere Staaten die Ermittlungen, darunter Luxemburg, Rumänien, die Schweiz, die Ukraine, Großbritannien, Kanada, Deutschland, die USA, Spanien, Schweden, Dänemark, Estland, Lettland, Litauen, Polen und Portugal. Laut Europol war der Dienst eigens für kriminelle Zwecke ausgelegt: Er ermöglichte anonyme Zahlungen und eine verborgene Infrastruktur, sodass zahlende Kunden ihre Identität bei Ransomware-Angriffen, groß angelegtem Betrug und Datendiebstahl verbergen konnten. Beworben wurde First VPN in russischsprachigen Cybercrime-Foren wie Exploit[.]in und XSS[.]is – ausdrücklich als Werkzeug, um sich der Strafverfolgung zu entziehen. Die internationale Operation lief zwischen dem 19. und 20. Mai. In dieser Zeit vernahmen die Behörden den Administrator des Dienstes, durchsuchten ein Anwesen in der Ukraine, nahmen 33 Server vom Netz und beschlagnahmten Infrastruktur, die weltweit kriminelle Aktivitäten unterstützte.

Nach Angaben von Eurojust warb die Website von First VPN gezielt mit Anonymität. Den Nutzern wurde versprochen, dass der Dienst mit keiner Justizbehörde kooperiere, keine Daten speichere und keiner Gerichtsbarkeit unterliege.

In einer abgestimmten Eilwarnung erklärte die US-Bundespolizei FBI, der Dienst sei seit etwa 2014 aktiv gewesen und habe 32 Exit-Node-Server in 27 Ländern betrieben. Drei dieser Exit-Nodes befanden sich in den USA, weitere unter anderem in Australien, Österreich, Belgien, Kanada, Zypern, Finnland, Frankreich, Deutschland, Hongkong, Italien, Lettland, Luxemburg, Moldau, den Niederlanden, Panama, Polen, Rumänien, Russland, Serbien, Singapur, Spanien, Schweden, der Schweiz, der Türkei, der Ukraine und Großbritannien.

Mindestens 25 Ransomware-Gruppen, darunter Avaddon, sollen die Infrastruktur von First VPN für Netzwerk-Aufklärung und Einbrüche genutzt haben. Die Laufzeit der Abonnements reichte von einem Tag bis zu einem Jahr; je nach Tarif kosteten sie zwischen 2 US-Dollar für einen einzelnen Tag und 483 US-Dollar für ein ganzes Jahr. Bezahlt werden konnte über Bitcoin, Perfect Money, Webmoney, EgoPay und InterKass.

Technisch bot der Dienst laut FBI mehrere Verbindungsprotokolle, darunter OpenConnect, WireGuard, Outline und VLess TCP Reality, sowie verschiedene Verschlüsselungsoptionen wie OpenVPN ECC, L2TP/IPSec und PPtP. Den technischen Support wickelte First VPN über einen selbst gehosteten Jabber-Server und den verschlüsselten Messengerdienst Telegram ab. Mit den Protokollvarianten „VLESS" und „Reality" ließ sich der VPN-Datenverkehr nach FBI-Angaben als HTTPS-Verkehr über Ports tarnen, die üblicherweise für den Aufruf von Websites genutzt werden.

Laut Snapshots im Internet Archive warb First VPN mit „Anonymität, Stabilität, Sicherheit". Der Dienst gab an, keine Protokolle zu speichern, die es ihm selbst oder Dritten erlauben würden, eine IP-Adresse in einem bestimmten Zeitraum einem Nutzer zuzuordnen. Gespeichert würden allein E-Mail-Adresse und Benutzername, doch sei es unmöglich, die Internetaktivität mit einem konkreten Nutzer des Dienstes zu verknüpfen.

Um sich der Haftung zu entziehen, hielt First VPN in seinen häufig gestellten Fragen fest, man verbiete die Nutzung der Server für illegale Zwecke „strikt". Das erleichtere den Eingang von Beschwerden über die Server – mit dem Ergebnis, dass diese abgeschaltet würden.

Internationale Razzia gegen kriminellen VPN-Dienst „First VPN" – von 25 Ransomware-Gruppen genutzt

Ähnliche Artikel

Neueste Artikel