El FBI incauta Virtualine, un host «bulletproof» acusado de amparar el cibercrimen y de blanquear Bitcoin
El dominio principal de un proveedor de hosting que se promocionaba abiertamente entre delincuentes quedó fuera de línea esta semana, después de que las autoridades estadounidenses lo incautaran en una operación internacional. El caso recuerda que la infraestructura detrás del phishing, los infostealers y el ransomware es un negocio, y que ese negocio tiene clientes que pagan.
Qué ocurrió
El Departamento de Justicia de EE. UU. anunció el martes que el FBI había incautado virtualine[.]net, el escaparate de un proveedor de hosting «bulletproof» (BPH) conocido como Virtualine. Quien visita el dominio ve ahora un aviso de incautación que cita una orden del Distrito Este de Virginia y una acción bautizada «Operación Omegaline», llevada a cabo junto con la policía de Alemania y de los Países Bajos, la Agencia Nacional contra el Crimen del Reino Unido y socios del sector privado.
Los documentos judiciales describen un proveedor que también operaba como Secury, Massgod, Spamhouse, Lanedo y Omegatech. Se anunciaba en foros de cibercrimen como un lugar para ejecutar phishing, carding, spam y escaneos de puertos, con el material de abuso infantil y el terrorismo como únicas excepciones declaradas. Ignorar las denuncias de abuso se presentaba como una ventaja. Desde marzo de este año, el servicio vendía incluso un nivel de «protección adicional» que prometía trasladar la infraestructura del cliente a una empresa pantalla sin vínculos con Virtualine cada vez que llegara una solicitud de las fuerzas del orden. Los planes tenían precios similares a los de cualquier host VPS convencional.
Las acusaciones sobre «Vendor 1»
La acusación más grave se refiere a un cliente identificado en los documentos solo como «Vendor 1»: un foro donde los usuarios compraban y vendían imágenes sexualmente explícitas de menores y adultos, y que además ofrecía un servicio de hackeo por encargo para acceder a las cuentas de las víctimas. Según la fiscalía, Virtualine empezó a recibir denuncias sobre material de abuso en ese servidor alrededor de un mes después de asignarle una dirección IP, y lo mantuvo en línea pese a los avisos de las autoridades de Alemania, Canadá y Australia, del Centro Nacional estadounidense para Menores Desaparecidos y Explotados y del abogado de una víctima. El departamento sostiene además que Virtualine ayudó al mismo cliente a montar un nuevo sitio de subida y venta de contenido, que seguía alojado en el momento de la incautación.
Sigue el dinero
La orden no trata solo de hosting. La fiscalía afirma que Virtualine aceptaba pagos en direcciones de Bitcoin no custodiadas, anunciadas explícitamente como libres de controles contra el blanqueo de capitales, para que los clientes pudieran pagar sin que un exchange regulado marcara los fondos. Parte de ese dinero sería rastreable directamente hasta grupos criminales y habría sido blanqueado después para ocultar su origen. El análisis blockchain de las carteras del proveedor muestra exposición a operadores de ransomware, infraestructura de infostealers, foros criminales en ruso, tiendas ilícitas y direcciones de phishing.
La respuesta del operador
La persona que dirige Virtualine ha publicado una carta abierta en la que rechaza que el servicio alojara a sabiendas material de abuso sexual infantil. La carta afirma que la relación con «Vendor 1» terminó en cuanto se identificó contenido prohibido, que las solicitudes relacionadas con CSAM se atendían en 24 horas y que los datos de los clientes están a salvo. En esta fase se trata de acusaciones, y ninguna de ellas ha sido aún examinada por un tribunal.
Por qué importa
Los hosts «bulletproof» son los caseros del cibercrimen. La página de phishing dirigida a tu plantilla, el servidor de mando y control que recoge registros de infostealers y el panel detrás de un afiliado de ransomware necesitan un lugar donde vivir, y necesitan un casero que no responda a las solicitudes de retirada. Operaciones como esta encarecen ese servicio.
Rara vez lo eliminan, sin embargo. Virtualine ya había demostrado lo resistente que puede ser un BPH: en otoño de 2025 se trasladó a un nuevo sistema autónomo, AS209800, con espacio IPv4 obtenido a través de intermediarios de direcciones con controles laxos y enrutado por un upstream que también da cobijo a otras operaciones «bulletproof». Un dominio incautado o un ASN perdido es un contratiempo, no un cierre. La facilidad para registrar nuevos recursos de red es el problema estructural, y no ha desaparecido.
Qué hacer
- Trata los rangos «bulletproof» conocidos como hostiles. Bloquea o genera alertas sobre AS209800 y los prefijos asociados en el perímetro y en tus pasarelas de correo y web, y mantén al día tus fuentes de inteligencia sobre hosting «bulletproof», porque estos operadores cambian de direcciones con frecuencia.
- Asume que seguirá apareciendo infraestructura de phishing e infostealers. Exige MFA resistente al phishing, acorta la duración de las sesiones y trata las credenciales encontradas en registros de stealers como comprometidas desde el momento en que aparecen.
- Denuncia los abusos y guarda las pruebas. Cuando encuentres infraestructura que abuse de tu marca, presenta quejas ante el proveedor upstream y las autoridades competentes. Los proveedores que ignoran sistemáticamente esos avisos son exactamente el objetivo de esta orden.
- Mira el problema desde el lado del delincuente. Tus dominios, las credenciales de tus empleados y tu marca ya se comentan en los foros y mercados a los que sirve este tipo de hosting. Nuestro servicio de monitorización de la Deep/Dark Web vigila esos foros, mercados y canales de filtraciones en busca de la huella de tu organización, para que conozcas la exposición antes de que alguien pague por aprovecharla.