FBI confiscă Virtualine, hosting bulletproof pentru ransomware

Departamentul de Justiție al Statelor Unite a anunțat confiscarea domeniului virtualine.net, autorizată de o instanță, folosit de Virtualine, un furnizor de hosting bulletproof care opera și sub numele Secury, Massgod, Spamhouse, Lanedo și Omegatech. Serviciile bulletproof închiriază servere, hosting și domenii cu promisiunea că vor ignora sesizările de abuz și cererile autorităților.

Ancheta a fost condusă de biroul FBI din Washington, împreună cu Polizei Hessen (Germania), Politie Midden-Nederland (Țările de Jos), National Crime Agency din Regatul Unit și partenerii privați OverRIPE și Lumen. Help Net Security indică numele operațiunii, Omegaline. Potrivit The Record, la momentul confiscării Departamentul de Justiție nu i-a identificat pe operatori și nu a anunțat acuzații penale.

Cum funcționa Virtualine

Potrivit documentelor instanței citate de toate sursele, Virtualine își recruta clienții pe forumurile de criminalitate informatică. În septembrie 2024 scria pe Exploit.in că serviciul putea fi folosit pentru orice activitate ilegală, inclusiv phishing, carding, spam și scanarea porturilor, cu singura excepție a conținutului cu abuz asupra copiilor și a terorismului. În iunie 2025 se lăuda pe HackForums că a „ignorat mai multe abuzuri decât ultimii tăi trei terapeuți”.

Din martie 2026 vindea un „plan de protecție suplimentară”: după prima cerere oficială a autorităților, infrastructura clientului era mutată la o firmă-paravan fără legătură cu Virtualine, iar serverul era repornit. Este mecanismul care face greu de scos din funcțiune serverele malițioase doar prin sesizări.

În ciuda regulii declarate, guvernul acuză Virtualine că a găzduit în cunoștință de cauză un forum infracțional (numit „Vendor 1” în documente) care vindea imagini intime cu minori și adulți și promova un serviciu de hack-for-hire pentru a intra în conturile victimelor. Din ianuarie 2026, avertismentele polițiilor din Germania, Canada și Australia, ale NCMEC și ale avocatului unei victime nu au dus la închidere: potrivit Departamentului de Justiție, Virtualine a ajutat chiar forumul să creeze un site nou, pe care încă îl găzduiește.

Fluxurile de bani

Plățile veneau și printr-o opțiune numită „BTC [NO-AML]”: adrese bitcoin necustodiate de un serviciu de plată, pentru a evita controalele antispălare de bani. Potrivit Chainalysis, care a sprijinit ancheta, adresele Virtualine sunt legate direct de operatori ransomware, infrastructuri de infostealere, forumuri de criminalitate informatică în limba rusă, magazine ilicite și campanii de înșelătorie și phishing.

TRM Labs, citată de BleepingComputer, CyberScoop și SecurityWeek, scrie că Virtualine nu era printre cei mai mari furnizori bulletproof ca volum, dar este cel care în 2026 a primit cea mai mare valoare de origine ilicită dintre cei pe care îi urmărește: aproximativ o cincime din total, potrivit CyberScoop. Împărțirea plăților directe: o piață rusă de droguri (circa 44%), o schemă amplă de sextortion (17%), un mixer de criptomonede (13%), ransomware (5%), servicii de criminalitate informatică (3%) și malware (2%). Printre cei care au plătit, potrivit CyberScoop, se află grupurile ransomware Coinbase Cartel, The Gentlemen, INC, DragonForce și Qilin, precum și operatorii infostealerului StealC și ai loaderului Matanbuchu.

Servere confiscate în Europa

Potrivit BleepingComputer, care preia comunicatul poliției olandeze, au fost confiscate zeci de servere fizice în Limburg, iar sute de servere virtuale au fost oprite; au fost recuperate date despre peste 3.000 de clienți Virtualine, împotriva cărora sunt în curs acțiuni ulterioare. Pentru poliția olandeză, platforma era activă cel puțin din 2022. SecurityWeek arată că serviciul a apărut pe Exploit în 2024, dar susținea că funcționează din 2019.

Rănit, nu oprit

Silent Push, citată de Help Net Security, urmărea rețeaua din 11 februarie 2026, când a observat infrastructură mutată de la Railnet, furnizor bulletproof cunoscut, către o rețea nou înregistrată numită Omegatech. La câteva ore după confiscare, operatorii au publicat o scrisoare deschisă pe un al doilea domeniu, virtualine.org, respingând acuzațiile și recunoscând că ar putea să-și schimbe numele și să continue într-o zi sau mai puțin. Părți ale rețelei rămân accesibile, dar vizibilitatea de rutare a prefixelor lor este foarte scăzută, semn că o mare parte din infrastructură ar putea să nu mai fie activă (Help Net Security și BleepingComputer).

TRM avertizează că o confiscare de domeniu îngreunează accesul clienților la serviciu, dar nu dovedește singură că operatorul s-a oprit sau că clienții și-au pierdut toată infrastructura. Potrivit Help Net Security, un aviz comun al CISA, FBI, NCSC din Regatul Unit și al altor agenții din noiembrie 2025 arată că astfel de furnizori pot obține un nou număr de sistem autonom (ASN) în două până la cinci zile lucrătoare și pot muta pe el aceleași blocuri de adrese IP.

Tehnici MITRE ATT&CK

Corespondența noastră: clienții Virtualine foloseau serviciul pentru T1583.003 (achiziția de servere private virtuale), T1583.004 (servere) și T1583.001 (domenii), adică infrastructură pentru phishing, comandă și control al malware-ului și al botneturilor și site-uri de distribuție.

Impactul pentru companiile europene și italiene

Infrastructura confiscată se afla cel puțin în parte în Țările de Jos, iar printre clienți sunt grupuri ransomware și de infostealere active și în Europa. Adresele furnizorilor precum Virtualine apar des în jurnalele firewallurilor ca surse de scanări și încercări de autentificare sau ca destinații pentru malware și phishing. Pentru entitățile NIS2 este o atenționare: listele de blocare bazate pe adrese IP individuale se învechesc repede când furnizorul își schimbă rețeaua în câteva zile.

Ce să faci acum

1. Caută în jurnalele DNS, proxy și firewall conexiuni către virtualine.net, virtualine.org și rețelele indicate de Silent Push (Omegatech, Railnet), inclusiv în lunile trecute.
2. Blochează sau monitorizează după ASN, nu doar după IP: folosește surse de reputație care urmăresc rețelele furnizorilor bulletproof și verifică des noile alocări.
3. Tratează conexiunile de ieșire către rețele de hosting cu reputație slabă ca posibil semn de infostealere sau de comandă și control, în special StealC.
4. Verifică domeniile asemănătoare cu al tău și paginile de phishing găzduite pe rețele bulletproof și cere registrarilor eliminarea lor.

Cum te ajută ARXDOME

ARX Horizon îmbogățește fiecare eveniment cu țara, operatorul și listele de amenințări, astfel încât conexiunile către rețele cu reputație slabă ies în evidență în paginile SOC. ARX Radar recunoaște scanările și atacurile de forță brută pe perimetru și arată dosarul fiecărei surse, cu rețea și reputație. ARX Expose semnalează domeniile asemănătoare cu al tău înregistrate de alții.

Ultima actualizare: 30 octombrie 2026