El FBI incauta Virtualine, hosting bulletproof del ransomware
El FBI incauta virtualine.net, un hosting bulletproof pagado por grupos de ransomware e infostealers. Cómo operaba, qué sigue en línea y qué revisar.
El Departamento de Justicia de Estados Unidos ha anunciado la incautación del dominio virtualine.net, autorizada por un tribunal, utilizado por Virtualine, un proveedor de hosting bulletproof que también operaba con los nombres Secury, Massgod, Spamhouse, Lanedo y Omegatech. Los servicios bulletproof alquilan servidores, hosting y dominios con la promesa de ignorar las denuncias de abuso y las solicitudes de las fuerzas del orden.
La investigación la dirigió la oficina de Washington del FBI, con la Polizei Hessen (Alemania), la Politie Midden-Nederland (Países Bajos), la National Crime Agency británica y los socios privados OverRIPE y Lumen. Help Net Security da el nombre de la operación, Omegaline. Según The Record, en el momento de la incautación el Departamento de Justicia no identificó a los responsables ni anunció cargos penales.
Cómo operaba Virtualine
Según los documentos judiciales citados por todas las fuentes, Virtualine captaba clientes en foros de cibercrimen. En septiembre de 2024 escribía en Exploit.in que el servicio podía usarse para cualquier actividad ilegal, incluidos phishing, carding, spam y escaneo de puertos, con la única excepción de los contenidos de abuso infantil y el terrorismo. En junio de 2025 presumía en HackForums de haber «ignorado más abusos que tus últimos tres terapeutas».
Desde marzo de 2026 vendía un «plan de protección adicional»: tras la primera solicitud oficial de las fuerzas del orden, la infraestructura del cliente se trasladaba a una empresa pantalla no vinculada a Virtualine y el servidor se reactivaba. Es el mecanismo que dificulta retirar servidores maliciosos solo con denuncias.
Pese a la regla declarada, el gobierno acusa a Virtualine de alojar a sabiendas un foro criminal (llamado «Vendor 1» en los documentos) que vendía imágenes íntimas de menores y adultos y anunciaba un servicio de hack-for-hire para entrar en las cuentas de las víctimas. Desde enero de 2026, los avisos de las policías de Alemania, Canadá y Australia, del NCMEC y del abogado de una víctima no llevaron al cierre: según el Departamento de Justicia, Virtualine ayudó incluso al foro a crear un nuevo sitio, que sigue alojando.
Los flujos de dinero
Los pagos llegaban también mediante una opción llamada «BTC [NO-AML]»: direcciones bitcoin no custodiadas por un servicio de pago, para evitar los controles contra el blanqueo. Según Chainalysis, que apoyó la investigación, las direcciones de Virtualine están vinculadas directamente con operadores de ransomware, infraestructuras de infostealers, foros de cibercrimen en ruso, tiendas ilícitas y campañas de estafa y phishing.
TRM Labs, citada por BleepingComputer, CyberScoop y SecurityWeek, afirma que Virtualine no estaba entre los mayores proveedores bulletproof por volumen, pero es el que en 2026 ha recibido más valor de origen ilícito entre los que sigue: alrededor de una quinta parte del total, según CyberScoop. El reparto de los pagos directos: un mercado ruso de drogas (cerca del 44%), un gran esquema de sextorsión (17%), un mezclador de criptomonedas (13%), ransomware (5%), servicios de cibercrimen (3%) y malware (2%). Entre quienes pagaron, según CyberScoop, están los grupos de ransomware Coinbase Cartel, The Gentlemen, INC, DragonForce y Qilin, y los operadores del infostealer StealC y del loader Matanbuchu.
Servidores incautados en Europa
Según BleepingComputer, que recoge el comunicado de la policía neerlandesa, se incautaron decenas de servidores físicos en Limburgo, con cientos de servidores virtuales apagados, y se recuperaron datos de más de 3.000 clientes de Virtualine, contra los que hay nuevas acciones en curso. Para la policía neerlandesa, la plataforma estaba activa al menos desde 2022. SecurityWeek señala que el servicio apareció en Exploit en 2024, pero afirmaba operar desde 2019.
Herido, no apagado
Silent Push, citada por Help Net Security, seguía la red desde el 11 de febrero de 2026, cuando vio infraestructura que pasaba de Railnet, un conocido proveedor bulletproof, a una red recién registrada llamada Omegatech. Pocas horas después de la incautación, los responsables publicaron una carta abierta en un segundo dominio, virtualine.org, rechazando las acusaciones y admitiendo que podrían cambiar de nombre y seguir en un día o menos. Partes de la red siguen accesibles, pero la visibilidad de enrutamiento de sus prefijos es muy baja, señal de que gran parte de la infraestructura podría no estar ya activa (Help Net Security y BleepingComputer).
TRM advierte que incautar un dominio dificulta el acceso de los clientes al servicio, pero no demuestra por sí solo que el operador haya dejado de trabajar ni que los clientes hayan perdido toda su infraestructura. Según Help Net Security, un aviso conjunto de CISA, el FBI, el NCSC británico y otras agencias de noviembre de 2025 indica que estos proveedores pueden obtener un nuevo número de sistema autónomo (ASN) en dos a cinco días hábiles y trasladar a él los mismos bloques de direcciones IP.
Técnicas MITRE ATT&CK
Mapeo nuestro: los clientes de Virtualine usaban el servicio para T1583.003 (adquisición de servidores privados virtuales), T1583.004 (servidores) y T1583.001 (dominios), es decir, infraestructura para phishing, comando y control de malware y botnets, y sitios de distribución.
Impacto para las empresas europeas e italianas
La infraestructura incautada estaba al menos en parte en los Países Bajos, y entre los clientes hay grupos de ransomware e infostealers activos también en Europa. Las direcciones de proveedores como Virtualine aparecen a menudo en los registros de los firewalls como origen de escaneos e intentos de acceso, o como destino de malware y phishing. Para las entidades sujetas a NIS2 es un recordatorio: las listas de bloqueo basadas en IP sueltas envejecen deprisa cuando el proveedor cambia de red en pocos días.
Qué hacer ya
- Busca en los registros de DNS, proxy y firewall conexiones hacia virtualine.net, virtualine.org y las redes indicadas por Silent Push (Omegatech, Railnet), también en los meses pasados.
- Bloquea o vigila por ASN, no solo por IP: usa fuentes de reputación que sigan las redes de los proveedores bulletproof y revisa a menudo las nuevas asignaciones.
- Trata las conexiones salientes hacia redes de hosting de baja reputación como posible señal de infostealers o de comando y control, en particular StealC.
- Revisa los dominios parecidos al tuyo y las páginas de phishing alojadas en redes bulletproof, y pide su retirada a los registradores.
Cómo ayuda ARXDOME
ARX Horizon enriquece cada evento con país, operador y listas de amenazas, de modo que las conexiones hacia redes de baja reputación destacan en las páginas del SOC. ARX Radar reconoce escaneos y fuerza bruta en el perímetro y muestra el dossier de cada origen, con red y reputación. ARX Expose señala los dominios parecidos al tuyo registrados por otros.
Última actualización:
