Estados Unidos, la Unión Europea y el Reino Unido han impuesto sanciones a individuos, servicios de VPN y redes rusas por facilitar ataques de ransomware y ciberespionaje. Estas acciones buscan desmantelar infraestructuras que ocultan la identidad de criminales y protegen software malicioso. Además, se advirtió sobre el uso de routers vulnerables por parte del FSB ruso para infiltrarse en infraestructuras críticas globales.

La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de los EE. UU. ha designado a dos personas y a un proveedor de servicios VPN por facilitar las actividades maliciosas de actores de ransomware y otros ciberdelincuentes, incluidos ataques de ransomware contra estadounidenses.

La VPN, llamada First VPN Service (1VPNS), ha sido acusada de ofrecer sus herramientas a grupos de ransomware, junto con su administrador ucraniano de 45 años, Dmytro Rashevskyi. El departamento también ha sancionado a Yegeniy Vladimirovich Silayev, ciudadano bielorruso, por vender criptores para ayudar a ocultar el ransomware y otros malware como programas seguros para evitar ser detectados por herramientas de seguridad.

First VPN fue desmantelada en mayo de 2026 como parte de una operación conjunta de las autoridades europeas y norteamericanas por ayudar a actores criminales a ocultar el origen de ataques de ransomware, robo de datos, escaneo y ataques de denegación de servicio. El servicio operaba desde 2014, anunciando que no mantenía un registro de las identidades o actividades de los usuarios ni cooperaba con las fuerzas del orden para combatir la actividad ilegal originada en los servidores que alquilaba a sus clientes.

Según el Tesoro, se dice que varios grupos de ransomware compraron First VPN para llevar a cabo ataques a empresas e instituciones de EE. UU. y ocultar sus orígenes reales, desplegar malware y gestionar datos exfiltrados. Las víctimas de los ataques de ransomware que involucraron la infraestructura de la VPN incluyeron empresas estadounidenses, compañías de servicios financieros, hospitales y gobiernos municipales.

Los grupos de ransomware que utilizan servicios suministrados por las partes designadas presuntamente causaron pérdidas de miles de millones de dólares a empresas estadounidenses y proveedores de infraestructuras críticas, según declararon funcionarios de EE. UU.

"Rashevskyi ha utilizado identidades falsas, incluidas 'Maksim Sorin' y 'Roman Chabanenko', para comprar infraestructura de empresas que, de otro modo, podrían negarse a hacer negocios con él debido a quejas de abuso de los proveedores de servicios de internet sobre actividad ilegal originada en los servidores de 1VPNS", afirmó el departamento.

El Reino Unido y la UE imponen sanciones a individuos y entidades rusas

La revelación coincide con que el Reino Unido y la UE sancionen a redes cibernéticas rusas por sus "intentos persistentes y cada vez más imprudentes de sembrar el caos y la división en toda Europa". Las sanciones se dirigen a 24 personas y entidades detrás de operaciones cibernéticas e híbridas destructivas, incluidos operadores involucrados en redes proxy vinculadas a los Servicios de Inteligencia Rusos (RIS).

Esto incluye a miembros de la alta dirección de la Dirección Principal de Inteligencia de Rusia (GRU), Vyacheslav Stafeyev, Ivan Senin e Ivan Kasyanenko, por su papel en la dirección de operaciones de amenazas híbridas y cibernéticas del GRU. En paralelo, el Centro 16 del Servicio Federal de Seguridad (FSB) ha sido atribuido a operaciones de sabotaje disruptivas contra la red energética de Polonia a finales del año pasado.

"La división cibernética de la Unidad 29155 del GRU trabajó con ciberdelincuentes, incluida la empresa IMPULS, para reclutar hackers y especialistas cibernéticos de universidades y academias de toda Rusia", afirmó el gobierno del Reino Unido en este enlace.

Las sanciones también se dirigen a los individuos detrás de Lumma Stealer por permitir que los ciberdelincuentes recopilen información confidencial de dispositivos comprometidos a gran escala. Se dice que Rusia ha utilizado las credenciales robadas por el stealer para llevar a cabo operaciones de ciberespionaje contra objetivos globales para apoyar los objetivos del Kremlin.

"Los ciberdelincuentes, autoproclamados hacktivistas y empresas privadas vinculadas a Rusia, incluidos actores que operan bajo sus instrucciones, dirección o control, también han llevado a cabo, habilitado y facilitado una amplia gama de actividades maliciosas", afirmó la UE en su comunicado.

"Condenamos enérgicamente el comportamiento de Rusia y el mal uso de este ecosistema cibernético, dirigido a los servicios públicos y las infraestructuras críticas, causando interrupciones y pérdidas financieras. Al denunciar el comportamiento malicioso de Rusia e imponer costes a los responsables de tales actividades, la UE subraya su determinación de defender la rendición de cuentas en el ciberespacio".

El objetivo patrocinado por el estado ruso va tras los routers

Las sanciones también llegan en el contexto de un nuevo aviso emitido por el FBI sobre la explotación por parte de los actores cibernéticos del Centro 16 del FSB de dispositivos de red mal configurados y vulnerables en todo el mundo para hackear oportunísticamente múltiples redes del sector de infraestructuras críticas.

"Los actores cibernéticos del Centro 16 del FSB ruso utilizan principalmente el escaneo para identificar dispositivos de red mal configurados, principalmente routers, para su explotación", afirmó la agencia. "Los actores escanean rangos de IP de Internet con agentes activos del Protocolo Simple de Gestión de Red (SNMP) que aceptan cadenas de comunidad comunes o predeterminadas para la autenticación".



Estos escaneos, que se ejecutan a través de proxies, consisten en solicitudes de configuración (Set-Requests) de SNMP desde una dirección IP falsificada que contiene Identificadores de Objetos (OIDs) que instruyen al agente SNMP en dispositivos de red mal configurados para copiar su configuración a un archivo y transferirla a un servidor privado virtual (VPS) controlado por el atacante o a un servidor FTP comprometido.

La actividad también implica el abuso de vulnerabilidades y exposiciones comunes (CVE) en dispositivos Cisco, como la CVE-2008-4128, como medio para descubrir y explotar aparatos de red mal configurados. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido desde entonces la CVE-2008-4128 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV aquí), exigiendo a las agencias federales que apliquen las correcciones antes del 16 de julio de 2026.

Fuente:
THN