OFAC trừng phạt dịch vụ VPN và bên bán mã độc hỗ trợ ransomware
"The U.S. Treasury’s OFAC sanctioned First VPN Service (1VPNS), its Ukrainian administrator Dmytro Rashevskyi, and Belarusian cryptor seller Yegeniy Vladimirovich Silayev for supporting ransomware and malware operations. The VPN service was used by ransomware groups to hide attack origins and manage exfiltrated data, while the cryptors helped malware evade detection; the article also notes related U.K. and E.U. sanctions and an FBI advisory on Russian actors exploiting vulnerable routers, including CVE-2018-0171 and CVE-2008-4128, with CISA adding CVE-2008-4128 to the KEV catalog."
Tác động bảo mật đáng kể do nhắm vào chuỗi hỗ trợ ransomware (VPN che giấu nguồn gốc, cryptors né phát hiện) và cảnh báo khai thác SNMP trên thiết bị mạng; điểm cần chú ý gồm CVE-2008-4128 trong KEV và yêu cầu vá trước 16/7/2026.
Có thể giảm rủi ro dài hạn cho tổ chức tại Mỹ nhờ triệt phá hạ tầng hỗ trợ tấn công, nhưng vẫn cần đầu tư vận hành để giảm bề mặt tấn công thiết bị mạng (router) và đảm bảo tuân thủ thời hạn vá KEV; tác động tức thời phụ thuộc vào mức độ tổ chức đã khắc phục CVE-2008-4128 và siết cấu hình SNMP.
Cơ quan OFAC (Bộ Tài chính Mỹ) đã chỉ định trừng phạt First VPN Service (1VPNS) cùng hai cá nhân liên quan, vì bị cáo buộc hỗ trợ hoạt động ransomware và các chiến dịch mã độc khác. Theo thông tin từ OFAC, dịch vụ VPN này được sử dụng để che giấu nguồn gốc tấn công và hỗ trợ quản lý dữ liệu bị đánh cắp. Quản trị viên người Ukraine Dmytro Rashevskyi bị nêu tên, đồng thời một cá nhân người Belarus Yegeniy Vladimirovich Silayev bị trừng phạt vì bán “cryptors” nhằm ngụy trang mã độc như phần mềm hợp pháp và né tránh công cụ bảo mật.
Bài viết cho biết First VPN đã bị tháo gỡ vào tháng 5/2026 trong một chiến dịch phối hợp giữa các cơ quan thực thi pháp luật châu Âu và Bắc Mỹ. OFAC cũng nêu rằng các nhóm ransomware đã mua dịch vụ này để tấn công doanh nghiệp và tổ chức tại Mỹ, bao gồm lĩnh vực tài chính, bệnh viện và chính quyền địa phương.
Song song, FBI phát hành cảnh báo về việc các tác nhân thuộc FSB Center 16 khai thác thiết bị mạng cấu hình kém, đặc biệt là router thông qua SNMP với chuỗi community mặc định. Hoạt động này có thể liên quan đến lỗ hổng CVE-2018-0171 và CVE-2008-4128; CISA đã đưa CVE-2008-4128 vào danh mục KEV và yêu cầu cơ quan liên bang áp dụng khắc phục trước 16/7/2026. Khuyến nghị: rà soát cấu hình SNMP, tắt/giới hạn truy cập không cần thiết, cập nhật firmware và ưu tiên vá các CVE nêu trên.