Coup d'arrêt pour le service First VPN, prisé des cybercriminels

Les autorités judiciaires viennent de porter un nouveau coup aux cybercriminels en démantelant First VPN, un réseau virtuel privé utilisé pour dissimuler leur identité, après avoir neutralisé en mars le service Socks Escort leur permettant d'attaquer dans l'ombre.

First VPN a été démantelé mardi au cours d'une opération internationale diligentée par les autorités judiciaires françaises et néerlandaises, avec l'appui notamment d'Eurojust et Europol, a annoncé jeudi la procureure de Paris Laure Beccuau.

"Trente-trois serveurs ont été saisis dans différents pays d'Europe" et "le principal administrateur, localisé en Ukraine, y a été entendu à la demande du juge d'instruction français, en présence des enquêteurs de la brigade de lutte contre la cybercriminalité", a-t-elle ajouté dans un communiqué.

Une enquête avait été ouverte en décembre 2021 par la section de lutte contre la cybercriminalité du parquet de Paris, "devant le constat récurrent de l'utilisation de ce service VPN" pour commettre "de nombreuses infractions au préjudice de victimes françaises".

"Ce dispositif permettant de rediriger les connexions au travers d'un serveur tiers, empêchant ainsi d'en identifier l'origine, se présentait comme mettant ses utilisateurs à l'abri de toute identification, et comme non coopérant avec les services de police", a rappelé la magistrate.

Elle a souligné que le service, qui proposait des "offres tarifaires différentes selon le degré de complexité des relais de connexions", faisait "de la publicité exclusivement sur des forums cybercriminels".

"5.000 comptes"

Les investigations diligentées par la brigade de lutte contre la cybercriminalité de la police judiciaire de la préfecture de police de Paris et par l'Ofac (Office anti-cybercriminalité) ont permis d'établir que ce service, qui existait depuis 2014, "avait pu être utilisé par plus de 5.000 comptes" et "de recueillir des éléments intéressant des enquêtes sur des ransomwares, comme Phobos", a encore mentionné Mme Beccuau.

Une information judiciaire, procédure permettant la saisine de juges d'instruction pour superviser les investigations, a été ouverte en mars 2022, notamment pour "complicité d'accès, maintien et introduction frauduleuse de données dans un système de traitement automatisé de données (STAD)", et "complicité d'extorsion en bande organisée et d'association de malfaiteurs en vue de la préparation d'un crime".

L'équipe commune d'enquête mise en place en 2023 avec les Pays-Bas a débouché sur une équipe opérationnelle à Europol, avec l'appui de l'Espagne et de la Suède.

"Au total, 83 dossiers de renseignements concernant 506 usagers ont pu être adressés aux pays partenaires", a précisé la procureure de Paris.

Les Etats-Unis, le Canada et l'Allemagne ont contribué à l'enquête, tandis que l'Ukraine, la Suisse, le Royaume-Uni, le Luxembourg et la Roumanie ont participé à la journée de l'opération.

Appareils zombies

En mars, une opération transnationale avait déjà permis de neutraliser un service qui permettait aux cybercriminels d'attaquer dans l'ombre, en profitant des box internet et objets connectés de particuliers.

Au total, "un million de modems infectés ont (...) été déconnectés du réseau criminel. Quarante mille euros ont été saisis en France et trois millions d'euros ont été gelés par les Etats-Unis, en cryptomonnaie", avait précisé la procureure de Paris à l'époque.

La justice française avait là aussi œuvré, au côté de ses homologues américaine et néerlandaise, et avec le soutien d'Europol et d'Eurojust. Les autorités allemandes, autrichiennes, bulgares, hongroises ou encore roumaines avaient aussi été associées à l'opération.

Le but des autorités, "c'est que les attaques informatiques coûtent plus cher à être exécutées, d'où l'intérêt de ce type d'opérations" qui s'en prennent aux infrastructures, avait expliqué à l'AFP l'expert Baptiste Robert, président de Predicta Lab, société spécialisée dans le domaine.

Socks Escort reposait sur des centaines de milliers de box internet, routeurs et autres objets connectés, appartenant à des particuliers et infectés à leur insu par un virus informatique, avait indiqué à l'AFP la commissaire de police Julie Benoit, à la manœuvre à l'Ofac.

Ces appareils zombies étaient loués à des cybercriminels, pour qu'ils puissent dissimuler leur véritable adresse IP, celle qui permet d'identifier chaque internaute, et commettre divers délits, attaques informatiques ou même échanges de fichiers pédopornographiques.