Un servicio de red privada virtual llamado 'First VPN', utilizado en ataques de ransomware y robo de datos, ha sido puesto fuera de línea en una operación conjunta de lasers fuerzas del orden internacionales.

Las autoridades han incautado docenas de servidores de First VPN situados en 27 países, han detenido al administrador y han realizado un registro domiciliario en Ucrania.

El servicio de VPN se anunciaba en diversos foros de cibercrimen como una VPN centrada en la privacidad que no registra los datos del usuario e ignora las solicitudes de las fuerzas del orden para obtener información de los mismos.

Las herramientas VPN cifran el tráfico de los usuarios y ocultan sus direcciones IP reales. Aunque se utilizan legítimamente para proteger la privacidad en WiFi públicas, eludir la censura, reducir el rastreo y permitir el trabajo remoto seguro, los actores de amenazas también confían en ellas para ocultar su ubicación e infraestructura.

Dependiendo de la región en la que operen, los proveedores de VPN pueden estar legalmente obligados a cumplir las solicitudes de las fuerzas del orden y entregar cualquier dato que conserven para investigaciones criminales.

Según Europol, el nombre del servicio apareció en casi todas las investigaciones importantes de cibercrimen que la agencia apoyó. Europol afirma que los nombres de First VPN han sido cerrados.

Aviso de incautación publicado en un sitio web de First VPN
Fuente: BleepingComputer

La investigación sobre el servicio comenzó en diciembre de 2021 y estuvo liderada por las autoridades francesas y holandesas, que formaron un equipo de investigación conjunta en noviembre de 2023.

En algún momento, los investigadores se infiltraron en la infraestructura de la VPN antes de que quedara fuera de línea y recopilaron datos de tráfico que les permitieron identificar a los usuarios del servicio.

“Se creó un Grupo de Trabajo Operativo en Europol, que reunió a investigadores de 16 países para analizar los datos incautados y coordinar el intercambio de inteligencia con socios internacionales”, explica Eurojust.

Una operación internacional coordinada llevada a cabo entre el 19 y el 20 de mayo se centró en el servicio “First VPN” y dio lugar a las siguientes acciones:

• * Incautación de 33 servidores vinculados a “First VPN”
• * Incautación de los dominios 1vpns.com, 1vpns.net, 1vpns.org y dominios onion relacionados
• * Interrupción de la infraestructura clave que soportaba el servicio
• * Identificación e interrogatorio de un sospechoso ucraniano
• * Notificaciones emitidas a los usuarios identificados de la plataforma

El comunicado de prensa de la policía holandesa confirma que todos los usuarios de First VPN han sido identificados y notificados directamente, aunque no se mencionaron cifras específicas y no está claro si existen planes de acciones legales posteriores contra ellos.

El anuncio de Europol menciona que se compartió internacionalmente información sobre 506 usuarios, así como 83 "paquetes de inteligencia" que ayudarán a investigaciones en curso o futuras.

"La inteligencia recopilada expuso a miles de usuarios vinculados al ecosistema del cibercrimen y generó pistas operativas relacionadas con ataques de ransomware, esquemas de fraude y otros delitos graves en todo el mundo", afirma Europol.

Fuente:
BleepingComputer