执法部门关停二十多个勒索软件团伙使用的VPN服务

TL;DR

• 国际执法联盟捣毁“First VPN”服务并逮捕其管理员，该服务长期被网络犯罪分子用于隐藏恶意活动。
• FBI确认至少有25个勒索软件团伙使用该VPN，此外还被用于僵尸网络、DDoS攻击及诈骗。
• 该服务在27个国家运营服务器，并向犯罪分子提供匿名支付和隐藏基础设施等专属服务。
• 执法部门获取了该服务的用户数据库，识别并通知了成千上万名与网络犯罪生态相关的用户。

为什么值得看

该事件揭示了匿名基础设施（如VPN）在网络犯罪生态中的核心枢纽地位，以及执法机构在打击深网犯罪方面的最新进展。对于安全从业者而言，了解此类“基础设施”被端掉的细节有助于评估供应链安全风险并更新威胁情报。

关键数据

• 至少25个勒索软件团伙：FBI确认的使用该VPN进行恶意活动的犯罪团伙最低数量。
• 27个国家：First VPN运营服务器的地理分布范围。
• 数千名用户：执法部门通过获取用户数据库识别出的与网络犯罪生态相关联的用户规模。
• 2021年12月：针对First VPN的调查启动时间。

技术解析

• 服务模式与营销：First VPN 不仅提供匿名连接，还专门向犯罪黑客市场营销匿名支付和隐藏基础设施服务，并在至少两个俄语黑客论坛上进行推广，承诺保护用户身份。
• 日志与追踪机制：该服务声称不存储允许关联IP地址与用户的日志，仅存储电子邮件和用户名；但执法部门表明通过获取其用户数据库并识别VPN连接，成功定位了大量用户。
• 执法行动结果：调查导致其管理员被捕，数十台服务器被拆除，其基础设施遭到破坏，显示出对跨国分布式服务进行物理摧毁的执法能力。

行业启示

• 匿名服务的双刃剑：虽然VPN声称“无日志”，但掌握核心数据库是识别用户的关键，表明对于此类服务，数据保管方的配合或数据库被窃将是服务崩盘的关键节点。
• 供应链安全监测：安全团队应监控依赖的第三方基础设施（如VPN、CDN、支付网关）是否出现在执法机构的打击名单中，以预防潜在的业务中断或合规风险。
• 执法合作常态化：跨国联合执法（如FBI与Europol协作）正在变得更加精准和常态化，网络犯罪分子依赖的传统匿名基础设施生存空间正在被压缩。

常见问题

Q: 执法部门如何识别First VPN的用户？
A: 执法部门获取了该服务的用户数据库，并通过识别VPN连接来暴露用户身份，随后通知用户他们已被识别。

Q: First VPN主要被用于哪些类型的网络犯罪？
A: 主要用于勒索软件攻击、大规模欺诈、数据窃取、运行僵尸网络、发起DDoS攻击以及互联网扫描。