ФБР изъяло основной домен хостинга Virtualine — сервиса, который открыто обещал клиентам защиту от жалоб и запросов правоохранителей. Для русскоязычного IT-рынка история важна не экзотикой «пуленепробиваемого» хостинга, а масштабом: голландская полиция сообщает об изъятии десятков физических серверов и данных более чем 3 тыс. клиентов. Хостинг Virtualine был частью инфраструктуры фишинга, ботнетов, инфостилеров и вымогательских операций.
О захвате домена virtualine[.]net сообщает BleepingComputer. В расследовании участвовали американские правоохранители, полиция Гессена в Германии, полиция региона Мидден-Нидерландов, британское Национальное агентство по борьбе с преступностью, а также частные партнёры OverRIPE и Lumen. На изъятом домене появилась служебная заглушка, а значительная часть сетевой инфраструктуры сервиса, по наблюдениям исследователей, перестала быть доступна из-за низкой видимости его префиксов в маршрутизации.
Virtualine работал не только под собственным названием. В материалах Минюста США перечислены также Secury, Massgod, Spamhouse, Lanedo и Omegatech. Сервис рекламировался на криминальных форумах и разрешал то, от чего обычный дата-центр старается держаться подальше: фишинговые кампании, спам, кардинг и сканирование портов. Витрина была построена вокруг простой сделки: клиент получает сервер и минимум неудобных вопросов, оператор — криптовалюту и репутацию площадки, которая не спешит реагировать на abuse-жалобы.
Следствие утверждает, что у этого подхода были особенно тяжёлые последствия. Хотя администрация Virtualine публично проводила границу на материалах с участием детей, власти считают, что оператор сознательно размещал форум, продвигавший материалы сексуальной эксплуатации детей, и игнорировал повторные уведомления полиции, Национального центра США по делам пропавших и эксплуатируемых детей и адвоката одной из жертв. Когда давление на форум усилилось, по версии Минюста, хостер помог его администраторам развернуть новую площадку. Она всё ещё размещалась у Virtualine и уже получила как минимум одну жалобу на запрещённые изображения.
Оператор сервиса на новом сайте virtualine[.]org отверг эту часть обвинений. В открытом письме он заявил, что претензии к незаконной деятельности платформы и её клиентов требуют справедливого расследования, но сексуальную эксплуатацию детей назвал преступлением против человечности. Это не отменяет фактического вопроса, который теперь будет разбираться следствием: что именно администратор знал о клиентах, какие уведомления получал и какие действия предпринимал после них. Для хостинг-провайдеров здесь нет комфортной серой зоны: формальное правило в пользовательском соглашении мало значит, если инфраструктура продолжает обслуживать тот же вредоносный ресурс после предупреждений.
Деньги показывают, почему подобные площадки так живучи. Virtualine принимал прямые платежи в биткоине на некастодиальные адреса — без обязательного прохождения через комплаенс-процедуры криптобирж. Chainalysis связала адреса сервиса с операторами программ-вымогателей, инфраструктурой инфостилеров, русскоязычными криминальными форумами, нелегальными магазинами, мошенническими и фишинговыми площадками. По оценке TRM, на группы-вымогатели приходилось 5% финансовых потоков Virtualine, а примерно 44% — на российский наркомаркет. Среди заметных источников средств также фигурировали крупная схема сексторшнажа и криптомиксер.
TRM отдельно отмечает платежи от инфостилера StealC в 2026 году: транзакции указывают на постоянные финансовые отношения, а не на случайную оплату одной услуги. Это важная деталь для команд безопасности. Инфостилеры крадут браузерные сессии, пароли и токены доступа; затем эти данные превращаются в первоначальный доступ к корпоративным системам, фишинговые рассылки или шантаж. Хостинговая площадка в такой цепочке не пишет вредоносный код и не обязательно запускает атаку сама, но даёт ей серверы, домены, сетевую устойчивость и возможность быстро переехать после блокировки.
Изъятие домена и серверов не означает автоматического исчезновения всей сети. Сам Virtualine на момент публикации оставался частично доступен, а у его клиентов могли быть резервные домены, другие провайдеры и сохранённые данные. Зато правоохранители получили материал для следующей фазы: голландские следователи уже заявили о дальнейших действиях в отношении пользователей сервиса. Для компаний это повод ещё раз проверить не только фильтры спама, но и процессы реагирования на утечки учётных данных, подозрительные входы и внезапные обращения к внешним VPS. Хостинг Virtualine стал заметной целью именно потому, что связывал разрозненных злоумышленников в работающую сервисную экосистему. Главный вопрос теперь в том, сколько из этих клиентов успели мигрировать раньше, чем следователи добрались до серверных стоек.
