WASHINGTON / LONDON (IT BOLTWISE) – Das US-Finanzministerium (OFAC) sanktioniert einen VPN-Anbieter sowie Personen, die Cryptor-Tools verkaufen und Ransomware-Aktivitäten absichern. Gleichzeitig ordnen Ermittler die Taktik dahinter ein: Infrastruktur zum Verbergen von Angriffsorten, zum Ausweichen vor Sicherheitskontrollen und zur systematischen Verbreitung von Schadsoftware. Parallel dazu warnen FBI und CISA vor russischen Akteuren, die über schlecht konfigurierte Netzwerkgeräte wie Router großflächig kompromittieren. Der Schritt hat unmittelbare Folgen für Betreiber, Incident-Response-Teams und Unternehmen mit kritischer Infrastruktur.
Das US-Finanzministerium hat zwei Personen und einen VPN-Dienstanbieter ins Visier genommen, weil sie Ransomware-Akteure und andere Cyberkriminelle bei Angriffen gegen US-Ziele unterstützt haben sollen. Im Zentrum steht der VPN-Dienst, der unter dem Namen „First VPN Service“ (1VPNS) lief und nach Angaben des Ministeriums seit 2014 aktiv war. Zudem wurden der 45-jährige ukrainische Administrator Dmytro Rashevskyi sowie der aus Belarus stammende Yegeniy Vladimirovich Silayev sanktioniert. Laut OFAC dienten die Angebote dazu, die wahren Ursprünge von Ransomware-Operationen zu verschleiern, Malware bereitzustellen und exfiltrierte Daten zu verwalten.
Technisch betrachtet geht es bei „VPN für Kriminelle“ nicht um Verschlüsselung als solche, sondern um die Kombination aus Zugriffsinfrastruktur und gezieltem Missbrauch. First VPN wurde Berichten zufolge so beworben, dass es keine Logs über Identitäten oder Aktivitäten speichert und nicht mit Strafverfolgungsbehörden kooperiert. Solche Aussagen sind für Ermittler deshalb relevant, weil die Server-Ressourcen als „Transit“ dienen, um IP-basierte Spuren zu verwischen und damit auch nachgelagerte Schritte wie Deployment, Command-and-Control und Datenabtransport zu erleichtern. Die Behauptung, mehrere Ransomware-Gruppen hätten 1VPNS gekauft, zielt genau darauf: Der Dienst wird zur anonymisierenden Schicht zwischen Angreifer und Zielorganisation.
Auch die zweite Schiene der Sanktionen ist für Security-Teams praktisch, denn Silayev soll Cryptor-Tools verkauft haben, mit denen sich Ransomware und andere Schadsoftware als „harmlos“ tarnen lassen sollen, um die Erkennung durch Sicherheitsprodukte zu umgehen. Gerade in der Praxis ist das ein häufiges Muster: Verschleierung erhöht die Wahrscheinlichkeit, dass Standard-Detektionen zu spät greifen oder nur generische Artefakte erkennen. Hinzu kommt, dass Ermittler Rashevskyi mit wechselnden Identitäten in Verbindung bringen, etwa „Maksim Sorin“ und „Roman Chabanenko“, um Infrastruktur zu kaufen, die andernfalls wegen Meldungen aus der Provider-Welt nicht verfügbar gewesen wäre. Vergleichbare Maßnahmen sieht man in der Industrie vor allem dort, wo Infrastrukturketten aus Proxys, VPS und Tarnungsdiensten systematisch zusammenlaufen.
Der Kontext reicht dabei über die USA hinaus. Parallel zu den OFAC-Schritten verhängten das Vereinigte Königreich und die Europäische Union Sanktionen gegen russische Cybernetzwerke, die laut ihren Begründungen „persistent and increasingly reckless attempts“ unternehmen würden, Chaos und Zwietracht über Europa zu säen. Unterm Strich richten sich die Maßnahmen auf 24 Personen und Einrichtungen, darunter Akteure mit Verbindungen zu proxy-artigen Strukturen, die in Berichten mit russischen Nachrichtendiensten in Verbindung gebracht werden. Genannt werden unter anderem Mitglieder der GRU-Spitze (u.a. Vyacheslav Stafeyev, Ivan Senin und Ivan Kasyanenko), außerdem wird Centre 16 des FSB einbezogen. Diese Verknüpfung zeigt, dass sich die Sicherheitslage nicht auf „Ransomware als Service“ beschränkt, sondern staatlich unterstützte Taktiken mit kriminellen Ökosystemen verzahnt sind.
Ergänzend kommt ein weiterer technischer Warnhinweis vom FBI: Russische FSB-Center-16-Akteure würden schlecht konfigurierte und verwundbare Netzwerkgeräte ausnutzen, um opportunistisch in Netzwerke kritischer Infrastruktur vorzudringen. Der Hebel ist dabei weniger „zero day“-Magie, sondern konsequentes Scannen und Ausnutzen von Standardfehlern. Das FBI beschreibt, dass die Akteure vor allem Router identifizieren und dabei das Simple Network Management Protocol (SNMP) verwenden: Sie suchen nach IP-Bereichen mit aktiven SNMP-Agents, die gängige oder Default-Community-Strings zur Authentifizierung akzeptieren. Danach sollen SNMP Set-Requests mit gespooften Quelladressen gezielt Konfigurationskopien auf ein Dateisystem veranlassen und diese anschließend an einen von Angreifern kontrollierten VPS oder kompromittierten FTP-Server übertragen.
Der Weg in die Tiefe führt zudem über bekannte Schwachstellen. Laut FBI werden neben dem SNMP-Fehlgebrauch auch typische CVE-basierte Angriffspfade genutzt, darunter CVE-2018-0171 und CVE-2008-4128 in Cisco-Umgebungen. Für Unternehmen ist das vor allem deshalb relevant, weil „bekannte“ Schwächen im Netzwerksegment der OT/IT-Grenze besonders häufig Jahre in Altinstallationen hängen bleiben. Die US-Behörde CISA hat CVE-2008-4128 inzwischen in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen und verlangt, dass Bundesbehörden die Patches bis zum 16. Juli 2026 umsetzen. Das ist ein klarer Hinweis auf die erwartete Angriffsrealität: Wenn eine Schwachstelle im KEV-Katalog gelandet ist, steigt in der Regel auch der Druck, weil Angreifer sie bereits aktiv ausnutzen.
Für den Markt zeigt die Kombination aus Sanktionen und technischen Warnungen eine deutliche Linie: Strafrechtliche und finanzielle Hebel werden mit betrieblichen Security-Prinzipien gekoppelt. In der Abwehr bedeutet das, dass ein „Ransomware-Playbook“ heute nicht nur Endpoints und Identitäten abdeckt, sondern auch Netzwerk- und Managementschichten. Angriffsflächen entstehen etwa durch öffentlich erreichbare Verwaltungs-Interfaces, durch unsaubere SNMP-Policy oder durch die fehlende Segmentierung zwischen DMZ, Management VLAN und internen Subnetzen. Sanktionierte VPN- und Cryptor-Dienste liefern dafür das Pendant aus der Angreiferperspektive: Sie bauen Transport- und Tarnschichten, während der kompromittierte Zugriff auf Netzwerkgeräte den Startpunkt liefert.
Auch die historische Entwicklung macht den Schritt verständlicher. VPN- und Proxy-Infrastrukturen sind seit Jahren Teil von Cyberkriminalitätsketten; neu ist eher die zunehmende Systematik, mit der Regierungen nicht nur Endangriffe, sondern die „Supply Chain“ der Angriffe adressieren. Ähnlich ging es in der Vergangenheit bei Botnet- und Hosting-Kampagnen vor allem um die Reduktion von Reichweite und Nachschub. Dass First VPN im Mai 2026 im Rahmen einer gemeinsamen Strafverfolgungsaktion in Europa und Nordamerika abgeschaltet wurde, passt in dieses Bild: Ermittler verfolgen die Infrastruktur, um weitere Käufe zu unterbinden und Attribution zu erleichtern. Für Betreiber heißt das, dass Incident-Response und Compliance stärker zusammenarbeiten müssen, etwa bei der Prüfung externer Dienste, Log-Retention und der Bewertung von Risiko bei ungewöhnlichen Netzwerkpfaden.
Mit Blick auf die Zukunft dürfte sich der Fokus noch stärker verschieben: Sanktionen allein stoppen nicht jede Angriffshandlung, aber sie erhöhen die Kosten für die Beschaffung von Anonymisierungs- und Tarnungsinfrastruktur. Parallel wird die technische Härtung erwartbar zum zentralen Wettbewerbsvorteil im Enterprise-Bereich, weil Angreifer zunehmend auf Standard-Fehlkonfigurationen setzen, die sich mit Scoring- und Policy-Ansätzen reduzieren lassen. Unternehmen sollten deshalb kurzfristig SNMP-Exponierung minimieren oder deaktivieren, Default-Strings konsequent entfernen, Netzwerkgeräte inventory-basiert patchen und KEV-relevante Schwachstellen als harte Priorität behandeln. Der nächste Schritt wird außerdem sein, dass Security-Teams VPN-ähnliche Transitpfade in Monitoring und Egress-Analysen explizit abbilden, um kompromittierte Proxy- und Tunnel-Nutzung schneller zu erkennen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "US sanktioniert VPN-Anbieter und Cryptor-Verkäufer wegen Ransomware-Unterstützung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "US sanktioniert VPN-Anbieter und Cryptor-Verkäufer wegen Ransomware-Unterstützung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »US sanktioniert VPN-Anbieter und Cryptor-Verkäufer wegen Ransomware-Unterstützung« bei Google Deutschland suchen, bei Bing oder Google News!