Operação coordenada atinge infraestrutura usada por ransomware e fóruns de cibercrime
Agências de aplicação da lei dos Estados Unidos, Alemanha, Países Baixos e Reino Unido realizaram uma ação conjunta que resultou na apreensão do domínio principal virtualine.net, pertencente a um serviço de hospedagem à prova de balas amplamente divulgado em fóruns clandestinos. O anúncio foi feito pelo Departamento de Justiça norte-americano (DOJ), que confirmou a comercialização de recursos para atividades ilegais, incluindo phishing, spam, carding e varredura de portas.
Múltiplas identidades e blindagem jurídica
O provedor operava sob diversos nomes — Secury, Massgod, Spamhouse, Lanedo e Omegatech — e prometia proteger clientes de reclamações legais e solicitações de autoridades. A investigação contou com a participação do FBI, da Polizei Hessen alemã, da Politie Midden-Nederland holandesa, da National Crime Agency britânica e de parceiros privados como OverRIPE e Lumen.
Conivência com material de abuso infantil
Embora o serviço alegasse vedar conteúdo infantil, as autoridades afirmam que o operador hospedava conscientemente um fórum dedicado a material de abuso sexual de crianças, ignorando notificações repetidas de agências policiais, do National Center for Missing and Exploited Children (NCMEC) e de advogados de vítimas. Segundo o DOJ, após aumento da pressão legal, a Virtualine auxiliou os administradores a criar um novo site, que permanece hospedado na infraestrutura do provedor e já recebeu ao menos uma denúncia de imagens explícitas de menores.
Administrador nega acusações em carta aberta
Em resposta publicada no novo domínio virtualine.org, capturado pela empresa de segurança Silent Push, o administrador rejeitou as imputações, declarando considerar a exploração sexual infantil um crime contra a humanidade, mas argumentando que as alegações sobre atividades ilegais e clientes merecem investigação justa.
Bitcoin como mecanismo de lavagem
A análise da Chainalysis, que deu suporte de inteligência à operação, vincula endereços de pagamento da Virtualine diretamente a operadores de ransomware, infraestrutura de infostealers, fóruns de cibercrime de língua russa, lojas ilícitas, golpes e plataformas de phishing. O provedor aceitava pagamentos diretos em carteiras não custodiais, permitindo que criminosos evitassem programas de conformidade de corretoras, e posteriormente ocultava a origem dos recursos.
Fluxos financeiros revelam ecossistema criminoso
Relatório da TRM Labs divulgado hoje aponta que grupos de ransomware respondiam por 5% das movimentações financeiras da Virtualine, enquanto um mercado de drogas russo representava aproximadamente 44%. Esquemas extensos de sextortion e serviços de mistura (mixers) também figuravam como fontes relevantes. A empresa identificou ainda pagamentos provenientes do infostealer StealC ao longo deste ano, indicando relação financeira contínua.
Infraestrutura física apreendida nos Países Baixos
A polícia holandesa informou a apreensão de dezenas de servidores físicos em Limburg, derrubando centenas de servidores virtuais. Investigadores recuperaram dados de mais de 3 mil clientes da plataforma, e ações de acompanhamento contra eles estão em andamento. Segundo as autoridades neerlandesas, a operação ilegal funcionava desde pelo menos 2022, dando suporte a ransomware, botnets, infostealers, phishing e distribuição de material de abuso infantil.
Serviço parcialmente online, mas com visibilidade reduzida
Embora partes da infraestrutura permaneçam acessíveis, pesquisadores observam que os prefixos de rede da Virtualine apresentam visibilidade de roteamento muito baixa no momento, sugerindo que grande parte dos recursos pode não estar mais alcançável.
Com informações de: BleepingComputer