FBI confiscă Virtualine, un host „bulletproof” acuzat că adăpostea infracțiuni cibernetice și spăla Bitcoin

Domeniul principal al unui furnizor de hosting care își făcea reclamă deschis în rândul infractorilor a fost scos din uz săptămâna aceasta, după ce autoritățile americane l-au confiscat într-o operațiune internațională. Cazul ne reamintește că infrastructura din spatele phishing-ului, al infostealer-elor și al ransomware-ului este o afacere, iar afacerea aceea are clienți plătitori.

Ce s-a întâmplat

Departamentul de Justiție al SUA a anunțat marți că FBI a confiscat virtualine[.]net, vitrina unui furnizor de hosting „bulletproof” (BPH) cunoscut sub numele Virtualine. Cine accesează domeniul vede acum un anunț de confiscare care invocă un mandat emis de instanța din Districtul de Est al Virginiei și o acțiune denumită „Operațiunea Omegaline”, desfășurată împreună cu poliția din Germania și din Țările de Jos, cu Agenția Națională de Combatere a Criminalității din Marea Britanie și cu parteneri din sectorul privat.

Documentele instanței descriu un furnizor care opera și sub numele Secury, Massgod, Spamhouse, Lanedo și Omegatech. Își făcea reclamă pe forumurile de criminalitate cibernetică drept un loc unde poți rula phishing, carding, spam și scanări de porturi, singurele excepții declarate fiind materialele cu abuzuri asupra minorilor și terorismul. Ignorarea plângerilor de abuz era prezentată ca un avantaj. Din martie anul acesta, serviciul vindea chiar și un nivel de „protecție suplimentară” care promitea mutarea infrastructurii clientului la o firmă-paravan fără legătură cu Virtualine ori de câte ori sosea o solicitare din partea autorităților. Planurile erau tarifate ca la orice host VPS obișnuit.

Acuzațiile legate de „Vendor 1”

Cea mai gravă acuzație privește un client identificat în documente doar ca „Vendor 1”: un forum unde utilizatorii cumpărau și vindeau imagini sexual explicite cu minori și adulți și care oferea și un serviciu de „hack la comandă” pentru spargerea conturilor victimelor. Procurorii susțin că Virtualine a început să primească sesizări despre material abuziv pe acel server la aproximativ o lună după ce i-a alocat o adresă IP și l-a ținut online în ciuda notificărilor venite de la autorități din Germania, Canada și Australia, de la Centrul Național american pentru Copii Dispăruți și Exploatați și de la avocatul unei victime. Departamentul mai susține că Virtualine l-a ajutat pe același client să construiască un nou site de încărcare și vânzare, care era încă găzduit în momentul confiscării.

Urmărește banii

Mandatul nu vizează doar hostingul. Procurorii afirmă că Virtualine accepta plăți către adrese Bitcoin „unhosted”, promovate explicit ca fiind fără verificări anti-spălare de bani, astfel încât clienții să poată plăti fără ca un exchange reglementat să semnaleze fondurile. O parte din acești bani ar putea fi urmărită direct până la grupări criminale și ar fi fost spălată ulterior pentru a-i ascunde originea. Analiza blockchain a portofelelor furnizorului arată expunere la operatori de ransomware, infrastructură de infostealer, forumuri de criminalitate în limba rusă, magazine ilicite și adrese de phishing.

Răspunsul operatorului

Persoana care conduce Virtualine a publicat o scrisoare deschisă în care respinge afirmația că serviciul ar fi găzduit cu bună știință material cu abuzuri sexuale asupra copiilor. Scrisoarea susține că relația cu „Vendor 1” a încetat imediat ce a fost identificat conținut interzis, că solicitările legate de CSAM erau tratate în 24 de ore și că datele clienților sunt în siguranță. În acest stadiu vorbim despre acuzații, niciuna dintre ele nefiind încă judecată.

De ce contează

Hosturile „bulletproof” sunt proprietarii de imobile ai criminalității cibernetice. Pagina de phishing care îți vizează angajații, serverul de comandă și control care colectează jurnalele de infostealer și panoul din spatele unui afiliat de ransomware au toate nevoie de un loc unde să stea și de un proprietar care nu răspunde la cererile de eliminare. Operațiuni ca aceasta scumpesc acel serviciu.

Rareori însă îl opresc. Virtualine demonstrase deja cât de rezistent poate fi un BPH: în toamna lui 2025 s-a mutat pe un nou sistem autonom, AS209800, folosind spațiu IPv4 obținut prin brokeri de adrese cu verificări laxe ale clienților și rutat printr-un upstream care găzduiește și alte operațiuni „bulletproof”. Un domeniu confiscat sau un ASN pierdut este un obstacol, nu o închidere. Ușurința cu care pot fi înregistrate resurse de rețea noi este problema structurală, iar ea nu a dispărut.

Ce e de făcut

• Tratează intervalele „bulletproof” cunoscute ca ostile. Blochează sau alertează pe AS209800 și pe prefixele asociate la perimetru și în gateway-urile de e-mail și web și ține la zi fluxurile de threat-intel despre hosting „bulletproof”, pentru că acești operatori își schimbă des adresele.
• Pleacă de la premisa că infrastructura de phishing și infostealer va continua să apară. Impune MFA rezistent la phishing, scurtează durata sesiunilor și tratează credențialele găsite în jurnalele de stealer ca fiind compromise din momentul în care apar.
• Raportează abuzurile și păstrează dovezile. Când găsești infrastructură care îți abuzează brandul, depune plângeri la furnizorul upstream și la autoritățile competente. Furnizorii care ignoră sistematic aceste notificări sunt exact ținta acestui mandat.
• Privește problema din perspectiva infractorului. Domeniile, credențialele angajaților și brandul tău sunt deja discutate pe forumurile și piețele pe care le deservește acest tip de hosting. Serviciul nostru de monitorizare Deep/Dark Web urmărește aceste forumuri, piețe și canale de scurgeri pentru amprenta organizației tale, ca să afli despre expunere înainte ca cineva să plătească pentru a o folosi.