Wer die Seite VPNLab.net aufruft erreicht nur noch ein „This domain has been seized“ – Diese Seite ist beschlagnahmt. Über das VPN-Netz wurden diverse Ransomware-Angriffe geleitet und Malware verteilt, wie etwa Ryuk. Das besondere VPN-Netzwerk mit zwei hintereinander geschalteten Servern von über 12 internationalen Strafverfolgungsbehörden in der Operation „Cyborg“ ausgeführt.
Am Montag, den 17.01.2022, ist es den Ermittlern der Polizeidirektion Hannover und der Staatsanwaltschaft Verden gelungen, mehrere Server von VPNLab.net, von denen cyberkriminelle Gruppierungen agieren, vom Netz zu nehmen (sog. „Takedown“). Bei der groß angelegten Operation wirkten weltweit verschiedene Strafverfolgungsbehörden mit. Über das Netzwerk wird wohl seit 2019 Malware, wie etwa Ryuk (siehe Mitre), versendet die bei Ransomware-Attacken verwendet wird.
Erfolgreicher Schlag gegen internationale Cyberkriminalität
Polizeidirektion Hannover, die Staatsanwaltschaft Verden und weitere internationale Strafbehörden haben das illegal agierende VPNlab.net zerschlagen.
Es wurden alle 15 Standorte der Server ermittelt. Diese Server gehörten zu einem Internetdienstleister, der seinen Kunden sogenanntes VPN (englisch für Virtual Private Network) zur Verfügung stellt. Ein VPN gewährleistet den Nutzenden geschützte und anonyme Kommunikation, sowie den ebenso abgesicherten Zugang zum Internet. Dabei wird der Datenverkehr über Server an anderen Standorten als denen der genutzten Endgeräte verschlüsselt und weitergeleitet. Der hier betroffene Dienstleister bot seinen Kunden auch Double VPN an. Die Onlineaktivitäten werden dabei nicht nur hinter einem, sondern gleich zwei Servern versteckt. Der Datenverkehr wird vom Endgerät auf einen entfernten VPN-Server geschickt. Von dort wiederum auf einen anderen VPN-Server mit anderem Standort.
VPNLab.net: Double-VPN deckt Ransomware-Angreifer
Über zwei Jahre akribische Ermittlungsarbeit sowie die Vernetzung von zehn Ländern und zwölf internationaler Strafverfolgungsbehörden verhindern Schäden in Millionenhöhe: Der Ausgangspunkt für diesen erfolgreichen Schlag war ausgerechnet der Cyberangriff auf die Stadtverwaltung Neustadt am Rübenberge im August 2019. Zuständig für die Ermittlungen waren die Fachinspektion für Straftaten aus dem Bereich Cybercrime der Polizeidirektion Hannover in Zusammenarbeit mit der für ebenfalls diesen Phänomenbereich zuständigen Staatsanwaltschaft Verden.
Das Netzwerk von VPNLab.net, von dem die Angriffe aus koordiniert wurden, wurde ausfindig gemacht und am gestrigen Montag vom Netz genommen. Das zeigt erneut, dass wir als Sicherheitsbehörden dazu in der Lage sind, schwerkriminellen Cyber-Netzwerken das Handwerk zu legen und tausende Straftaten im Cyberraum aufzudecken und aufzuklären. Das schärfste Schwert gegen international agierende Verbrecher ist ein gemeinsames und eng abgestimmtes Vorgehen.
Datenautobahn für Ranomsware Ryuk
Bei der im hier vorliegenden Fall über die Server verschickte Schadsoftware handelt es sich um die Schadsoftware „Ryuk“. Diese wird international durch kriminelle Vereinigungen genutzt, um Behörden, Firmen und Einrichtungen zu attackieren und von diesen, Lösegeld zu erpressen, damit deren digitale Infrastruktur wieder nutzbar wird. Bei einem Angriff mit dieser Schadsoftware verursachen die Täter immer wieder Schäden in Millionenhöhe. Über die nun abgeschalteten Server vernetzten sich etliche kriminelle Gruppierungen, bauten organisierte Strukturen auf und begingen Attacken auf Krankenhäuser, Universitäten und Unternehmen auch mit diverser anderer Ransomware als nur „Ryuk“.
Die folgenden Behörden waren an der Operation beteiligt
- Germany: Hanover Police Department (Polizeidirektion Hannover) – Central Criminal Office and Verden Public Prosecutor’s Office
- Netherlands: The Dutch National Hi-Tech Crime Unit
- Canada: Royal Canadian Mounted Police, Federal Policing
- Czech Republic: Cyber Crime Section – NOCA (National Organized Crime Agency)
- France: Sous-Direction de la Lutte Contre la Cybercriminalité à la Direction Centrale de la Police Judiciaire (SDLC-DCPJ)
- Hungary: RSSPS National Bureau of Investigation Cybercrime Department
- Latvia: State Police of Latvia (Valsts Policija) – Central Criminal Police Department
- Ukraine: National Police of Ukraine (Національна поліція України) – Cyberpolice Department
- United Kingdom: The National Crime Agency
- United States: Federal Bureau of Investigation
- Eurojust
- Europol: European Cybercrime Centre (EC3)
Mehr bei Europol.europa.eu