4 min
Nel panorama globale della cybersicurezza, le autorità statunitensi hanno sferrato un nuovo colpo alle infrastrutture che sostengono il crimine informatico internazionale, colpendo questa volta un network russo accusato di fornire rifugio digitale a operazioni ransomware e mercati del dark web. L'Ufficio per il Controllo dei Beni Stranieri del Tesoro americano (OFAC) ha preso di mira l'intero ecosistema del Gruppo Aeza, un'organizzazione che secondo gli investigatori avrebbe trasformato il concetto di hosting in uno scudo impenetrabile per cybercriminali di ogni tipo. La mossa rappresenta un ulteriore tassello nella strategia americana di smantellare non solo i singoli attori delle minacce informatiche, ma soprattutto le fondamenta tecnologiche che rendono possibili le loro operazioni.
La rete tentacolare di Aeza Group
Al centro delle sanzioni si trova un sistema complesso che va ben oltre una semplice società di hosting. Aeza International Ltd., con sede nel Regno Unito, svolgeva il ruolo di facciata legale per affittare indirizzi IP a criminali informatici, mentre due sussidiarie russe - Aeza Logistic LLC e Cloud Solutions LLC - completavano l'architettura operativa del gruppo. Quattro dirigenti di alto livello sono finiti nel mirino delle autorità, tra cui il CEO Arsenii Penzev e il direttore generale Yurii Bozoyan, entrambi già arrestati dalle forze dell'ordine russe per il loro coinvolgimento nel marketplace di droga Blacksprut.
L'infrastruttura del gruppo avrebbe fornito supporto tecnico a organizzazioni criminali di primo piano come Meduza, operatori di Lumma infostealer, il ransomware BianLian e i pannelli di controllo di RedLine infostealer. Questi servizi hanno permesso ai criminali di sottrarre dati sensibili e prosciugare fondi da vittime in tutto il mondo, inclusi utilizzatori di criptovalute.
Il portafoglio digitale al centro dell'inchiesta
Le indagini hanno portato alla luce un portafoglio crittografico ospitato sulla blockchain Tron, utilizzato come wallet amministrativo per ricevere pagamenti destinati ai servizi di Aeza. Secondo i dati forniti da Chainalysis, questo indirizzo ha processato oltre 350.000 dollari in criptovalute, convogliando i pagamenti attraverso processori di terze parti per offuscare le tracce finanziarie e complicare il lavoro degli investigatori.
Gli analisti hanno scoperto che il portafoglio riceveva pagamenti diretti da clienti, inclusi venditori di infostealer, e instradava fondi illeciti verso vari exchange di criptovalute. Un report separato della società di intelligence blockchain TRM Labs ha confermato questi risultati, evidenziando come l'indirizzo designato mostrasse "punti regolari di conversione in denaro contante verso exchange globali di criptovalute" e fornitori di servizi di pagamento.
I collegamenti con il crimine organizzato digitale
L'analisi dei pattern di pagamento ha rivelato corrispondenze con i prezzi noti dei servizi di hosting di Aeza, suggerendo che venditori di infostealer e altri attori delle minacce fossero probabilmente tra i clienti del gruppo. TRM Labs ha inoltre identificato collegamenti tra il portafoglio e altre piattaforme di cybercrime attraverso indirizzi intermediari, incluse connessioni con l'exchange russo sanzionato Garantex.
La rapidità della risposta del mercato illegale alle sanzioni è stata emblematica: i siti web collegati ad Aeza e alle sue affiliate sono andati offline poco dopo l'annuncio della designazione. Questo fenomeno sottolinea quanto sia interconnesso l'ecosistema del crimine informatico e quanto rapidamente reagisca alle pressioni delle autorità.
Una strategia più ampia contro le infrastrutture criminali
L'azione contro Aeza Group si inserisce in una strategia coordinata delle autorità internazionali per colpire i fornitori di infrastrutture che rendono possibili le operazioni criminali. All'inizio dell'anno, l'OFAC aveva guidato uno sforzo congiunto con Regno Unito e Australia per sanzionare Zservers, un altro provider russo di hosting blindato che offriva infrastrutture alla gang ransomware LockBit.
Parallelamente alle infrastrutture, l'OFAC ha intensificato gli sforzi per smantellare il finanziamento del cybercrime basato su criptovalute. Ad aprile, l'agenzia ha sanzionato otto indirizzi crittografici utilizzati dal movimento Houthi dello Yemen per finanziare l'acquisizione di armi e attività terroristiche, con dati on-chain che mostravano oltre 45 milioni di dollari movimentati attraverso Garantex.
A marzo, l'OFAC aveva inserito nella lista nera 49 portafogli crypto legati a Nemesis, un marketplace del darknet gestito dal cittadino iraniano Behrouz Parsarad. La piattaforma era coinvolta nel traffico di fentanyl e altre droghe sintetiche, processando quasi 30 milioni di dollari in vendite utilizzando Bitcoin e Monero prima del suo sequestro nel 2024.