EUA impõem sanções à First VPN Service e a vendedor de “cryptors” por apoio a ataques de ransomware
O Departamento do Tesouro dos Estados Unidos anunciou novas sanções direcionadas a duas pessoas e a um serviço de VPN apontados como peças-chave na infraestrutura usada por grupos de ransomware e outros tipos de cibercriminosos. As medidas, aplicadas pelo Escritório de Controle de Ativos Estrangeiros (OFAC), atingem o serviço First VPN Service, também conhecido como 1VPNS, seu administrador ucraniano e um cidadão bielorrusso especializado na venda de ferramentas para mascarar malware.
Segundo o governo norte-americano, os sancionados forneceram recursos técnicos que permitiram a criminosos ocultar a origem de ataques, distribuir códigos maliciosos, gerenciar dados roubados e escapar de mecanismos de detecção de soluções de segurança. A infraestrutura associada ao 1VPNS teria sido utilizada em ofensivas contra empresas de diversos setores, instituições financeiras, hospitais e administrações municipais nos Estados Unidos.
A First VPN Service é acusada de disponibilizar seus servidores deliberadamente para operadores de ransomware e para outros grupos envolvidos em roubo de dados, varreduras automatizadas em busca de vulnerabilidades e ataques de negação de serviço (DDoS). Ativo desde 2014, o serviço foi desmontado em maio de 2026 em uma operação coordenada entre autoridades de países europeus e da América do Norte, que mirou data centers e provedores relacionados à plataforma.
Política de “zero logs” e recusa em cooperar com investigações
Um dos pontos que tornava o 1VPNS especialmente atrativo para cibercriminosos era sua política pública de não registrar informações sobre os usuários nem sobre o tráfego que passava pela infraestrutura do serviço. Além disso, a empresa declarava que não colaboraria com autoridades em investigações sobre atividades ilegais conduzidas a partir de seus servidores.
Na prática, esse posicionamento transformava o serviço em um ambiente quase ideal para quem buscava esconder a localização real de seus operadores. VPNs mal utilizadas podem funcionar como uma camada intermediária entre o invasor e o alvo, embaralhando o caminho do tráfego de rede. Isso dificulta o rastreamento de endereços IP de origem e da infraestrutura utilizada para coordenar campanhas maliciosas, como ataques de ransomware, fraudes financeiras ou roubo de dados sensíveis.
De acordo com o Tesouro dos EUA, diversos grupos especializados em ransomware contrataram o First VPN Service para realizar ataques contra empresas e instituições norte-americanas. Os servidores da plataforma foram utilizados não apenas para esconder a origem das ofensivas, mas também para distribuir o malware responsável pela criptografia de arquivos, coordenar as comunicações com as máquinas comprometidas e gerenciar a extração de informações confidenciais.
As autoridades afirmam que as operações conectadas à infraestrutura dos sancionados provocaram prejuízos bilionários a companhias privadas e a operadores de serviços essenciais, como saúde, energia e administração pública. Em muitos casos, além da paralisação das atividades, as vítimas enfrentaram extorsões milionárias e custos elevados de recuperação de sistemas.
Administrador do serviço usava múltiplas identidades falsas
Um dos alvos centrais das sanções é Dmytro Rashevskyi, cidadão ucraniano de 45 anos identificado como administrador e responsável pela gestão operacional da First VPN Service. Ele é acusado de ter recorrido a identidades falsas para contornar bloqueios e manter o negócio em funcionamento mesmo após reclamações e alertas de abuso.
Segundo o Tesouro norte-americano, Rashevskyi utilizou ao menos os nomes “Maksim Sorin” e “Roman Chabanenko” para contratar infraestrutura de empresas que, de outra forma, poderiam recusar-se a fazer negócios com ele, dada a reputação negativa do 1VPNS. Ao registrar serviços em nome de terceiros ou identidades fictícias, ele conseguia seguir alugando servidores, endereços IP e outros recursos cruciais, mesmo quando provedores passavam a bloquear ou encerrar contratos vinculados ao serviço.
Essa tática é recorrente em esquemas ligados ao cibercrime organizado. Operadores de redes maliciosas frequentemente utilizam documentos falsos, empresas de fachada ou intermediários para registrar domínios, hospedar servidores de comando e controle e contratar serviços em múltiplos países. Alternar rapidamente entre provedores reduz o risco de que ações de bloqueio interrompam as operações por longos períodos.
Vendedor de “cryptors” é acusado de blindar malwares contra antivírus
Além da VPN, o OFAC também incluiu na lista de sancionados Yegeniy Vladimirovich Silayev, cidadão da Bielorrússia acusado de comercializar “cryptors” para operadores de ransomware e distribuidores de outros tipos de malware. Ele teria atuado como um facilitador técnico, oferecendo ferramentas e serviços especializados para tornar códigos maliciosos menos detectáveis.
Cryptors são programas projetados para modificar, empacotar ou ofuscar malwares com o objetivo de enganar sistemas de segurança. Ao alterar a aparência do arquivo, criptografar trechos do código, mudar assinaturas conhecidas ou aplicar técnicas avançadas de ofuscação, esses recursos procuram fazer com que a ameaça se pareça com um software legítimo ou, ao menos, desconhecido para antivírus, EDRs e outras soluções de proteção.
Em alguns modelos de negócio criminoso, os vendedores de cryptors chegam a testar os arquivos dos clientes contra múltiplas ferramentas de segurança, ajustando o código até que as soluções mais comuns deixem de identificá-lo como malicioso. O resultado é um malware preparado para passar, ao menos temporariamente, pelos filtros de segurança no momento da disseminação da campanha.
Embora o uso de cryptors não elimine todos os indicadores de comportamento malicioso – como comunicação suspeita com servidores remotos, movimentação lateral na rede ou tentativa de elevar privilégios -, ele pode atrasar significativamente a detecção inicial. Esse atraso é crucial para operadores de ransomware, que dependem de uma janela de tempo para se espalhar pelo ambiente, localizar dados críticos e criptografá-los antes que as defesas consigam reagir.
Efeitos práticos das sanções: bloqueio de ativos e isolamento financeiro
As sanções impostas pelo OFAC costumam resultar no bloqueio de bens e interesses que os alvos possuam nos Estados Unidos ou sob controle de pessoas e instituições norte-americanas. Isso inclui contas bancárias, ativos digitais, participações em empresas e qualquer outro recurso que possa ser rastreado e congelado sob jurisdição dos EUA.
Além do congelamento de bens, empresas e cidadãos norte-americanos ficam proibidos de realizar uma série de transações com as pessoas e entidades sancionadas. Na prática, isso dificulta a contratação de novos serviços de infraestrutura, reduz a capacidade de movimentar recursos financeiros e restringe o acesso a meios tradicionais de pagamento, inclusive em plataformas que obedecem às regras dos EUA.
O objetivo declarado do governo norte-americano é aumentar o custo operacional do cibercrime, dificultando que facilitadores técnicos – como provedores de infraestrutura, vendedores de ferramentas de ofuscação ou operadores de serviços de lavagem de dinheiro digital – continuem sustentando a cadeia de ataques. Ao atacar os elos de suporte, as autoridades tentam desestabilizar o ecossistema que permite que campanhas de ransomware se tornem altamente lucrativas.
Por que VPNs “sem logs” podem ser alvo de cibercriminosos
Serviços de VPN são amplamente utilizados de forma legítima por empresas e usuários individuais para proteger a privacidade, cifrar conexões em redes públicas e contornar bloqueios geográficos. No entanto, quando uma VPN combina anonimato extremo, ausência de registros e recusa declarada em colaborar com autoridades, passa a atrair também grupos envolvidos em atividades ilícitas.
Do ponto de vista de um grupo de ransomware, utilizar uma VPN desse tipo reduz significativamente o risco de que o endereço IP real do operador seja identificado durante ou após um ataque. Isso é especialmente relevante em fases críticas da ofensiva, como o acesso inicial ao ambiente da vítima, o movimento lateral entre sistemas e o comando para iniciar a criptografia dos dados.
É importante ressaltar que a existência de políticas de privacidade rigorosas não transforma automaticamente um serviço de VPN em cúmplice de crimes. A diferença, no caso do First VPN Service, está na combinação entre o marketing voltado à promessa de impunidade, o histórico de denúncias de abuso e as evidências coletadas por autoridades indicando que a infraestrutura era usada de forma recorrente por cibercriminosos.
Cryptors como serviço: profissionalização do cibercrime
O caso de Yegeniy Silayev ilustra o quanto o cibercrime se profissionalizou e se fragmentou em funções altamente especializadas. Em vez de desenvolver internamente todas as ferramentas necessárias, grupos de ransomware podem recorrer a um verdadeiro “mercado paralelo” de serviços: desde kits de exploração e alugueis de botnets até soluções sob medida para empacotar e ofuscar malware.
Nesse modelo, operadores de ransomware podem focar em planejar ataques, escolher alvos, negociar resgates e administrar o fluxo financeiro, enquanto terceiros fornecem a infraestrutura técnica para evitar detecção. Cryptors como serviço, muitas vezes oferecidos sob a forma de assinaturas ou pacotes com suporte, representam uma camada crítica dessa engrenagem.
Essa divisão de tarefas reduz a barreira de entrada para novos grupos e amplia o alcance das campanhas. Até criminosos com conhecimento técnico limitado podem lançar ataques sofisticados ao combinar serviços prontos, adquiridos em fóruns clandestinos e canais privados, com ferramentas automatizadas de ataque.
Impactos para empresas e organizações
As sanções contra o First VPN Service e o vendedor de cryptors sinalizam que autoridades estão cada vez mais dispostas a mirar não apenas os operadores finais de ransomware, mas também a infraestrutura de suporte que torna as campanhas possíveis. Para empresas e organizações, o recado é claro: a ameaça continua evoluindo, e a preparação precisa acompanhar esse movimento.
Entre as principais medidas de defesa recomendadas estão o fortalecimento das camadas de segurança (como autenticação multifator, segmentação de rede e monitoramento de endpoints), a atualização constante de sistemas, a realização de backups offline e a implementação de planos de resposta a incidentes. Investir em detecção comportamental – capaz de identificar atividades suspeitas mesmo quando o malware está ofuscado – é cada vez mais crítico em um cenário em que cryptors são amplamente utilizados.
Além disso, é fundamental revisar a exposição de serviços voltados à internet, reduzir o uso de credenciais com privilégios excessivos e treinar equipes para reconhecer tentativas de phishing, que continuam sendo uma das principais portas de entrada para ataques de ransomware.
Cooperação internacional e tendências regulatórias
A derrubada da infraestrutura do First VPN Service em uma operação conjunta entre países da Europa e da América do Norte reflete um movimento mais amplo de cooperação internacional contra o cibercrime. Como ataques e fluxos financeiros atravessam fronteiras com facilidade, ações isoladas tendem a ser insuficientes para desarticular redes organizadas.
Nos últimos anos, tem crescido a pressão para que provedores de serviços de internet, hospedagem e intermediação de pagamentos adotem políticas mais rígidas de verificação de clientes e de resposta a abusos. Ao mesmo tempo, discute-se até que ponto é possível equilibrar a proteção da privacidade legítima de usuários com a necessidade de impedir que criminosos se escondam por trás de camadas de anonimato absoluto.
Para o mercado de segurança cibernética, a tendência é de maior escrutínio regulatório sobre serviços considerados “de alto risco”, como VPNs que não mantêm qualquer tipo de registro, mixers de criptomoedas e provedores que recusam sistematicamente cooperação com investigações. Empresas que operam nesses setores precisam se preparar para um cenário em que a exigência de transparência e compliance será cada vez maior.
Conscientização e responsabilidade compartilhada
O episódio envolvendo o 1VPNS e a venda de cryptors reforça que a luta contra o ransomware não depende apenas de softwares de segurança ou da ação de governos. Trata-se de um esforço de responsabilidade compartilhada entre provedores de infraestrutura, empresas usuárias de tecnologia, fabricantes de soluções de proteção e, em última instância, cada profissional que administra ou utiliza sistemas conectados.
Ao mesmo tempo em que autoridades buscam sufocar o ecossistema que sustenta o cibercrime, organizações precisam fortalecer sua postura defensiva e encarar a segurança digital como um componente estratégico do negócio – e não apenas como um custo operacional. Em um ambiente em que ataques podem interromper operações críticas, causar danos à reputação e gerar perdas milionárias, ignorar esse cenário deixou de ser uma opção.