ФБР изъяло домен Virtualine, сервиса «пуленепробиваемого» хостинга для киберпреступников
Правоохранители США изъяли основной домен Virtualine, хостинг-провайдера, который рекламировался на киберпреступных форумах как площадка для незаконной деятельности. Нидерландская полиция изъяла десятки физических серверов в Лимбурге, а данные более чем 3000 клиентов восстановлены.
Главное в цифрах
- Сервис работал под названиями Secury, Massgod, Spamhouse, Lanedo и Omegatech
- Изъято десятки физических серверов в Лимбурге, отключено сотни виртуальных серверов
- Данные более чем 3000 клиентов восстановлены
- На программы-вымогатели пришлось около 5% финансовых потоков, на российскую наркоплощадку около 44%
- Работа сервиса фиксируется с 2022 года
Министерство юстиции США подтвердило, что Virtualine продавал услуги, допускавшие «незаконную деятельность черного хакерства», от фишинга и спама до кардинга и сканирования портов. Домен virtualine[.]net изъяло ФБР. Расследование проводили вместе с немецкой полицией Гессена, нидерландской полицией Средний Нидерланд, Национальным агентством по борьбе с преступностью Великобритании, а также частными партнерами OverRIPE и Lumen.
Сервис работал и под другими названиями: Secury, Massgod, Spamhouse, Lanedo и Omegatech. Операторы обещали клиентам защиту от жалоб и запросов правоохранительных органов.
Детская эксплуатация и отмывание денег
По версии властей, Virtualine формально запрещал контент с детьми, но оператор сознательно размещал форум, пропагандирующий материалы сексуального насилия над детьми, и игнорировал повторные уведомления полиции, NCMEC и адвоката одной из жертв. После усиления давления, по данным следствия, сервис помог администраторам форума перенести сайт на новый ресурс, который хостится до сих пор и уже получил как минимум одну жалобу.
В открытом письме оператор отверг обвинения, заявив, что считает «сексуальную эксплуатацию детей преступлением против человечества», но при этом претензии о незаконной деятельности и клиентах «заслуживают честного расследования».
Chainalysis, которая помогала правоохранителям, связала платежные адреса Virtualine с операторами программ-вымогателей, инфраструктурой инфостилеров, русскоязычными форумами киберпреступников, нелегальными магазинами, мошенническими и фишинговыми платформами. Сервис принимал прямые платежи в биткоинах с необхеджированных кошельков, что позволяло клиентам обходить комплаенс-проверки бирж, а затем отмывал выручку.
Структура доходов
Компания TRM в отдельном отчете сообщила, что на программы-вымогатели пришлось около 5% финансовых потоков Virtualine, а на российскую наркоторговую площадку примерно 44%. Крупная схема сексторшена и миксер также были значимыми источниками средств. TRM отметила, что в этом году сервис получал платежи от инфостилера StealC, а транзакции указывают на постоянные финансовые связи.
По данным полиции Нидерландов, незаконная платформа обслуживала киберпреступные операции как минимум с 2022 года, включая программы-вымогатели, ботнеты, инфостилеры, фишинг и распространение материалов сексуального насилия над детьми. Несмотря на частичную работу, исследователи отмечают, что сетевые префиксы провайдера сейчас почти не видны в маршрутизации, поэтому большая часть инфраструктуры, вероятно, недоступна.
