FBI sequestra Virtualine, hosting bulletproof per ransomware

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato il sequestro del dominio virtualine.net, autorizzato da un tribunale, usato da Virtualine, un fornitore di hosting bulletproof che operava anche con i nomi Secury, Massgod, Spamhouse, Lanedo e Omegatech. I servizi bulletproof affittano server, hosting e domini con la promessa di ignorare le segnalazioni di abuso e le richieste delle forze dell’ordine.

L’indagine è stata guidata dall’ufficio di Washington dell’FBI, con la Polizei Hessen (Germania), la Politie Midden-Nederland (Paesi Bassi), la National Crime Agency britannica e i partner privati OverRIPE e Lumen. Help Net Security riporta il nome dell’operazione, Omegaline. Secondo The Record, al momento del sequestro il Dipartimento di Giustizia non ha indicato i gestori né annunciato accuse penali.

Come operava Virtualine

Secondo i documenti del tribunale citati da tutte le fonti, Virtualine reclutava i clienti sui forum del cybercrime. Nel settembre 2024 scriveva su Exploit.in che il servizio poteva essere usato per qualsiasi attività illegale, compresi phishing, carding, spam e scansione delle porte, con l’unica eccezione dei contenuti pedopornografici e del terrorismo. Nel giugno 2025 si vantava su HackForums di aver «ignorato più abusi dei tuoi ultimi tre terapeuti».

Dal marzo 2026 vendeva un «piano di protezione aggiuntiva»: alla prima richiesta ufficiale delle forze dell’ordine, l’infrastruttura del cliente veniva spostata su una società di comodo non collegata a Virtualine e il server riattivato. È il meccanismo che rende difficile la rimozione dei server malevoli con le sole segnalazioni.

Nonostante la regola dichiarata, il governo accusa Virtualine di aver ospitato consapevolmente un forum criminale (indicato negli atti come «Vendor 1») che vendeva immagini intime di minori e adulti e pubblicizzava un servizio di hack-for-hire per entrare negli account delle vittime. Da gennaio 2026 le segnalazioni di polizie di Germania, Canada e Australia, del NCMEC e del legale di una vittima non hanno portato alla chiusura: secondo il Dipartimento di Giustizia, Virtualine ha anzi aiutato il forum a costruire un nuovo sito, che ospita ancora oggi.

I flussi di denaro

I pagamenti arrivavano anche tramite un’opzione chiamata «BTC [NO-AML]»: indirizzi bitcoin non custoditi da un servizio di pagamento, per evitare i controlli antiriciclaggio. Secondo Chainalysis, che ha supportato le indagini, gli indirizzi di Virtualine sono collegati direttamente a operatori ransomware, infrastrutture di infostealer, forum del cybercrime in lingua russa, negozi illeciti e campagne di truffa e phishing.

TRM Labs, citata da BleepingComputer, CyberScoop e SecurityWeek, scrive che Virtualine non era tra i fornitori bulletproof più grandi per volume, ma è quello che nel 2026 ha ricevuto più valore di origine illecita tra quelli che traccia: circa un quinto del totale, secondo CyberScoop. La ripartizione dei pagamenti diretti: un mercato russo della droga (circa 44%), un grande schema di sextortion (17%), un mixer di criptovalute (13%), ransomware (5%), servizi di cybercrime (3%) e malware (2%). Tra chi ha pagato, secondo CyberScoop, ci sono i gruppi ransomware Coinbase Cartel, The Gentlemen, INC, DragonForce e Qilin, gli operatori dell’infostealer StealC e del loader Matanbuchu.

Server sequestrati in Europa

Secondo BleepingComputer, che riprende il comunicato della polizia olandese, sono stati sequestrati decine di server fisici nel Limburgo, con centinaia di server virtuali spenti, e recuperati dati di oltre 3.000 clienti di Virtualine, contro i quali sono in corso ulteriori azioni. Per la polizia olandese la piattaforma era attiva almeno dal 2022. SecurityWeek riporta che il servizio è comparso su Exploit nel 2024 ma dichiarava di operare dal 2019.

Un servizio ferito, non spento

Silent Push, citata da Help Net Security, seguiva la rete dall’11 febbraio 2026, quando aveva visto infrastruttura spostarsi da Railnet, noto fornitore bulletproof, a una rete appena registrata chiamata Omegatech. Poche ore dopo il sequestro, i gestori hanno pubblicato una lettera aperta su un secondo dominio, virtualine.org, respingendo le accuse e ammettendo di poter cambiare nome e ripartire in un giorno o meno. Parti della rete restano raggiungibili, ma la visibilità del routing dei loro prefissi è molto bassa, segno che gran parte dell’infrastruttura potrebbe non essere più attiva (Help Net Security e BleepingComputer).

TRM avverte che il sequestro di un dominio ostacola l’accesso dei clienti al servizio, ma non dimostra da solo che l’operatore abbia smesso o che i clienti abbiano perso tutta l’infrastruttura. Secondo Help Net Security, un avviso congiunto di CISA, FBI, NCSC britannico e altre agenzie del novembre 2025 indica che questi fornitori possono ottenere un nuovo numero di sistema autonomo (ASN) in due–cinque giorni lavorativi e spostarvi gli stessi blocchi di indirizzi IP.

Tecniche MITRE ATT&CK

Mappatura nostra: i clienti di Virtualine usavano il servizio per T1583.003 (acquisizione di server virtuali privati), T1583.004 (server) e T1583.001 (domini), cioè l’infrastruttura per phishing, comando e controllo di malware e botnet, e siti di distribuzione.

Impatto per le aziende europee e italiane

L’infrastruttura sequestrata si trovava almeno in parte nei Paesi Bassi, e tra i clienti ci sono gruppi ransomware e infostealer attivi anche in Europa. Gli indirizzi di fornitori come Virtualine compaiono spesso nei log dei firewall come sorgenti di scansioni e tentativi di accesso, o come destinazioni di malware e phishing. Per i soggetti NIS2 è un promemoria: le liste di blocco basate su singoli IP invecchiano in fretta quando il fornitore cambia rete in pochi giorni.

Cosa fare subito

1. Cerca nei log di DNS, proxy e firewall le connessioni verso virtualine.net, virtualine.org e le reti indicate da Silent Push (Omegatech, Railnet), anche nei mesi passati.
2. Blocca o sorveglia per ASN, non solo per singolo IP: usa fonti di reputazione che aggiornano le reti dei fornitori bulletproof, e verifica spesso le nuove assegnazioni.
3. Tratta le connessioni in uscita verso reti di hosting a bassa reputazione come possibile segnale di infostealer o di comando e controllo, in particolare per StealC.
4. Controlla i domini simili al tuo e le pagine di phishing ospitate su reti bulletproof, e chiedine la rimozione ai registrar.

Come aiuta ARXDOME

ARX Horizon arricchisce ogni evento con paese, operatore e liste di minacce, così le connessioni verso reti a bassa reputazione emergono nelle pagine del SOC. ARX Radar riconosce scansioni e forza bruta sul perimetro e mostra il dossier di ogni sorgente, con rete e reputazione. ARX Expose segnala i domini simili al tuo registrati da altri.

Ultimo aggiornamento: 30 ottobre 2026