FBI apreende a Virtualine, um alojamento «bulletproof» acusado de abrigar cibercrime e de branquear Bitcoin
O domínio principal de um fornecedor de alojamento que se promovia abertamente junto de criminosos ficou fora de serviço esta semana, depois de as autoridades norte-americanas o terem apreendido numa operação internacional. O caso recorda que a infraestrutura por trás do phishing, dos infostealers e do ransomware é um negócio, e que esse negócio tem clientes que pagam.
O que aconteceu
O Departamento de Justiça dos EUA anunciou na terça-feira que o FBI apreendeu virtualine[.]net, a montra de um fornecedor de alojamento «bulletproof» (BPH) conhecido como Virtualine. Quem visita o domínio vê agora um aviso de apreensão que cita um mandado do Distrito Leste da Virgínia e uma ação batizada «Operação Omegaline», conduzida em conjunto com a polícia da Alemanha e dos Países Baixos, a Agência Nacional contra o Crime do Reino Unido e parceiros do setor privado.
Os documentos judiciais descrevem um fornecedor que também operava como Secury, Massgod, Spamhouse, Lanedo e Omegatech. Anunciava-se em fóruns de cibercrime como um lugar para correr phishing, carding, spam e varrimentos de portas, com o material de abuso de menores e o terrorismo como únicas exceções declaradas. Ignorar queixas de abuso era apresentado como uma vantagem. Desde março deste ano, o serviço vendia até um nível de «proteção adicional» que prometia transferir a infraestrutura do cliente para uma empresa-fantasma sem ligação à Virtualine sempre que chegasse um pedido das autoridades. Os planos tinham preços semelhantes aos de qualquer alojamento VPS convencional.
As acusações sobre o «Vendor 1»
A acusação mais grave diz respeito a um cliente identificado nos documentos apenas como «Vendor 1»: um fórum onde os utilizadores compravam e vendiam imagens sexualmente explícitas de menores e adultos, e que oferecia ainda um serviço de pirataria por encomenda para aceder às contas das vítimas. Segundo o Ministério Público, a Virtualine começou a receber denúncias sobre material de abuso nesse servidor cerca de um mês depois de lhe atribuir um endereço IP, e manteve-o em linha apesar dos avisos das autoridades da Alemanha, do Canadá e da Austrália, do Centro Nacional norte-americano para Crianças Desaparecidas e Exploradas e do advogado de uma vítima. O departamento alega ainda que a Virtualine ajudou o mesmo cliente a montar um novo site de carregamento e venda de conteúdos, que continuava alojado no momento da apreensão.
Seguir o dinheiro
O mandado não trata apenas de alojamento. O Ministério Público afirma que a Virtualine aceitava pagamentos para endereços de Bitcoin não custodiados, anunciados explicitamente como isentos de controlos antibranqueamento, para que os clientes pudessem pagar sem que uma exchange regulada sinalizasse os fundos. Parte desse dinheiro seria rastreável diretamente até grupos criminosos e terá sido branqueado depois para ocultar a sua origem. A análise blockchain das carteiras do fornecedor mostra exposição a operadores de ransomware, infraestrutura de infostealers, fóruns criminosos em língua russa, lojas ilícitas e endereços de phishing.
A resposta do operador
A pessoa que gere a Virtualine publicou uma carta aberta em que rejeita que o serviço tenha alojado conscientemente material de abuso sexual de crianças. A carta afirma que a relação com o «Vendor 1» terminou assim que foi identificado conteúdo proibido, que os pedidos relacionados com CSAM eram tratados em 24 horas e que os dados dos clientes estão seguros. Nesta fase trata-se de acusações, e nenhuma delas foi ainda apreciada em tribunal.
Porque é que importa
Os alojamentos «bulletproof» são os senhorios do cibercrime. A página de phishing dirigida aos seus colaboradores, o servidor de comando e controlo que recolhe registos de infostealers e o painel por trás de um afiliado de ransomware precisam todos de um sítio onde viver, e de um senhorio que não responda a pedidos de remoção. Operações como esta encarecem esse serviço.
Raramente o eliminam, porém. A Virtualine já tinha demonstrado como um BPH pode ser resiliente: no outono de 2025 mudou-se para um novo sistema autónomo, o AS209800, com espaço IPv4 obtido através de intermediários de endereços com verificações frouxas e encaminhado por um upstream que também acolhe outras operações «bulletproof». Um domínio apreendido ou um ASN perdido é um contratempo, não um encerramento. A facilidade com que se registam novos recursos de rede é o problema estrutural, e não desapareceu.
O que fazer
- Trate as gamas «bulletproof» conhecidas como hostis. Bloqueie ou gere alertas sobre o AS209800 e os prefixos associados no perímetro e nas suas gateways de correio e web, e mantenha atualizadas as fontes de threat intel sobre alojamento «bulletproof», porque estes operadores mudam de endereços com frequência.
- Assuma que continuará a surgir infraestrutura de phishing e de infostealers. Exija MFA resistente a phishing, encurte a duração das sessões e trate as credenciais encontradas em registos de stealers como comprometidas desde o momento em que aparecem.
- Denuncie os abusos e guarde as provas. Quando encontrar infraestrutura a abusar da sua marca, apresente queixa junto do fornecedor upstream e das autoridades competentes. Os fornecedores que ignoram sistematicamente esses avisos são exatamente o alvo deste mandado.
- Olhe para o problema do lado do criminoso. Os seus domínios, as credenciais dos seus colaboradores e a sua marca já são discutidos nos fóruns e mercados que este tipo de alojamento serve. O nosso serviço de monitorização da Deep/Dark Web vigia esses fóruns, mercados e canais de fugas em busca da pegada da sua organização, para que conheça a exposição antes de alguém pagar para a explorar.