Au terme d’une enquête ouverte fin 2021, les enquêteurs des polices française, néerlandaise et de 14 autres pays ont saisi et démantelé un service de VPN qui était « presque exclusivement » promu sur les forums de cybercriminels russophones. Son infrastructure aurait été préalablement compromise par les autorités, et plusieurs milliers de ses utilisateurs identifiés.

First VPN, un service « utilisé dans la quasi-totalité des grandes enquêtes sur la cybercriminalité menées avec le soutien d’Europol ces dernières années » pour dissimuler des attaques par ransomware, des vols de données et d’autres infractions graves, a été démantelé lors d’une opération internationale menée par la France et les Pays-Bas, avec le soutien d’Europol et d’Eurojust.

Laure Beccuau, procureure de la République, précise qu’une enquête avait été ouverte en décembre 2021 par la section de lutte contre la cybercriminalité du parquet de Paris, « devant le constat récurrent de l’utilisation de ce service VPN pour la commission de nombreuses infractions au préjudice de victimes françaises ».

Son communiqué souligne que le service « faisait de la publicité exclusivement sur des forums cybercriminels ». Celui (.pdf) de l’Internet Crime Complaint Center (IC3) du FBI qu’ « au moins 25 groupes de ransomwares, tels qu’Avaddon Ransomware », ont utilisé l’infrastructure First VPN Service pour effectuer des reconnaissances et des intrusions.

« Nous ne sommes soumis à aucune juridiction »

First VPN ne faisait au surplus « presque exclusivement » de publicité de ses services que sur des forums criminels connus du dark web tels que Exploit[.]in et XSS[.]is, deux des plus importants forums et places de marché noir dédiés aux cybercriminels en langue russe.

Pendant des années, il a été présenté sur des forums de cybercriminalité russophones comme « un outil fiable permettant d’échapper aux forces de l’ordre », relève Europol, proposant à ses utilisateurs des paiements anonymes, une infrastructure dissimulée et des services « spécialement conçus pour des activités criminelles ».

Dans sa FAQ, First VPN indiquait ne conserver aucun log de ses utilisateurs, mais également que « Nous ne sommes soumis à aucune juridiction », et donc qu’« aucune circonstance ne nous obligerait à divulguer des informations concernant nos utilisateurs » :

« Nous ne conservons aucun journal qui permettrait, à nous-mêmes ou à des tiers, d’associer une adresse IP à un utilisateur de notre service pour une période donnée. Les seules données que nous conservons sont l’adresse e-mail et le nom d’utilisateur, mais il est impossible de relier l’activité de l’utilisateur sur Internet à un utilisateur spécifique de notre service. »

Le principal administrateur était localisé en Ukraine

Les investigations diligentées par la brigade de lutte contre la cybercriminalité de la Direction de la Police Judiciaire et par l’Office anti-cybercriminalité (OFAC) ont permis d’établir que ce service, qui existait depuis 2014, avait pu être utilisé par plus de 5 000 comptes, et de recueillir des éléments intéressant des enquêtes sur des ransomwares, comme Phobos.

Eurojust explique avoir ouvert une enquête à la demande des autorités françaises en mai 2022. Une équipe d’enquête conjointe avait été mise en place en novembre 2023, permettant aux autorités françaises et néerlandaises d’échanger des éléments de preuve et des informations, et de définir une stratégie en matière de poursuites.

Eurojust avait depuis organisé 16 réunions de coordination entre les autorités concernées afin de préparer l’opération coordonnée qui a permis la saisie des serveurs, des noms de domaine et le démantèlement de l’infrastructure les 19 et 20 mai.

Les États-Unis, le Canada, et l’Allemagne ont également contribué à l’enquête. L’Ukraine, la Suisse, le Royaume-Uni, le Luxembourg et la Roumanie ont quant à eux participé à la journée d’action.

Le principal administrateur, localisé en Ukraine, y a été entendu à la demande du juge d’instruction français, en présence des enquêteurs de la brigade de lutte contre la cybercriminalité. Les différents communiqués ne précisent pas s’il a aussi été inculpé, ni incarcéré, ni les peines qu’il encourrait.

Des milliers d’utilisateurs identifiés

Les utilisateurs de First VPN ont également été informés de la fermeture et du fait qu’ils avaient été identifiés, souligne Europol, qui avance aussi que « les enquêteurs ont identifié des milliers d’utilisateurs impliqués dans des activités de cybercriminalité ».

Les renseignements recueillis ont également « généré des pistes opérationnelles » en rapport avec des attaques par ransomware, des stratagèmes frauduleux et d’autres infractions graves à l’échelle mondiale.

Partagés au sein d’un groupe de travail réunissant des enquêteurs de 16 pays, ils auraient d’ores et déjà donné lieu à des résultats concrets au niveau d’Europol, qui mentionne la diffusion de 83 dossiers de renseignements, le partage à l’échelle internationale d’informations concernant 506 utilisateurs, et le fait que 21 enquêtes ont progressé grâce aux renseignements obtenus.

Europol ne précise ni pourquoi les enquêteurs auraient mis 5 ans avant de pouvoir démanteler l’infrastructure, ni comment ils auraient mis moins de 48 heures à exploiter les données saisies.

BleepingComputer avance cela dit que les enquêteurs avaient réussi à s’infiltrer dans l’infrastructure VPN avant qu’elle ne soit mise hors ligne, récupérer la base de données des utilisateurs et identifier les connexions VPN utilisées par les cybercriminels lors de leurs attaques.

Un site web dédié, operation-saffron.eu, arbore les logos des 13 unités impliquées dans l’enquête, et propose également un petit dessin animé ironisant sur le fait qu’elles seraient bel et bien parvenues à pirater l’infrastructure de First VPN, et à récupérer les données de ses utilisateurs.