27 октября 2026 года Министерство юстиции США объявило об изъятии домена virtualine.net, принадлежавшего провайдеру так называемого bulletproof-хостинга — услуги, при которой оператор сознательно игнорирует жалобы на злоупотребления со стороны клиентов. По данным Минюста, сервис использовался для размещения материалов сексуальной эксплуатации несовершеннолетних, распространения интимных изображений без согласия жертв и международного отмывания денег. Операция проводилась совместно с полицией земли Гессен (Германия), полицией Нидерландов, Национальным агентством по борьбе с преступностью Великобритании, а также частными компаниями OverRIPE и Lumen Technologies. Организациям, использующим блокировку по доменам или ASN для защиты от вредоносной инфраструктуры, следует учитывать, что изъятие одного домена не гарантирует полного прекращения работы связанной инфраструктуры.
Что представлял собой Virtualine
Согласно судебным документам, на которые ссылается Минюст, Virtualine действовал также под именами Secury, Massgod, Spamhouse, Lanedo и Omegatech. Сервис открыто рекламировал свои услуги на киберпреступных форумах, заявляя, что клиенты могут использовать хостинг для фишинга, кардинга, рассылки спама и сканирования портов. Единственными заявленными ограничениями были детский контент и терроризм.
В июне 2025 года на форуме HackForums оператор, по данным обвинения, хвастался, что «Virtualine проигнорировал больше жалоб, чем три ваших последних терапевта». В марте 2026 года сервис начал предлагать «план дополнительной защиты»: при получении официального запроса от правоохранительных органов инфраструктура клиента перемещалась в подставную компанию, формально не связанную с Virtualine.
Обвинения Минюста и позиция оператора
Центральное обвинение касается клиента, обозначенного в судебных документах как «Vendor 1» — криминального форума, на котором размещались и продавались откровенные изображения несовершеннолетних, а также предлагались услуги взлома аккаунтов на заказ. По версии Минюста, Virtualine продолжал обслуживать Vendor 1 даже после получения многочисленных уведомлений от правоохранительных органов Германии, Канады и Австралии, от Национального центра по делам пропавших и эксплуатируемых детей (NCMEC) в США и от адвоката одной из жертв. Более того, обвинение утверждает, что Virtualine активно сотрудничал с Vendor 1 в создании отдельного сайта для загрузки и скачивания нелегального контента.
Важно отразить, что эта хронология оспаривается. Оператор Virtualine опубликовал открытое письмо, в котором отрицает сознательное размещение материалов сексуальной эксплуатации детей. По его утверждению, все поступавшие жалобы на подобный контент обрабатывались в течение 24 часов, а отношения с Vendor 1 были прекращены после обнаружения запрещённых материалов. Оператор также заявил о готовности сотрудничать с властями по вопросам, связанным с Vendor 1. Независимая проверка ни одной из версий хронологии событий в доступных материалах не обнаружена — судебные документы, на которые ссылается Минюст, публично недоступны.
Криптовалютные потоки и масштаб экосистемы
По данным Минюста, Virtualine принимал оплату через так называемые «BTC [NO-AML]» — некастодиальные биткоин-адреса, позволявшие клиентам платить напрямую без прохождения проверок на соответствие требованиям по противодействию отмыванию денег. Компания Chainalysis в собственном анализе независимо подтвердила механизм прямых платежей через некастодиальные кошельки. При этом обвинение в дальнейшем отмывании полученных средств для сокрытия их происхождения в доступных материалах остаётся преимущественно основанным на заявлениях Минюста.
Chainalysis также сообщает, что блокчейн-след Virtualine демонстрирует прямые связи с широким спектром киберпреступной экосистемы: операторами программ-вымогателей, инфраструктурой инфостилеров, русскоязычными киберпреступными форумами, нелегальными магазинами, а также адресами, связанными с мошенничеством и фишингом.
Изъятие домена не означает ликвидацию инфраструктуры
Компания Silent Push в своём анализе операции зафиксировала, что Omegatech — один из псевдонимов Virtualine — не был полностью отключён после изъятия домена. Его сетевые префиксы демонстрировали крайне низкую видимость маршрутизации, что указывает на серьёзные проблемы на стороне оператора, но не на полное прекращение работы. Silent Push подчёркивает: «Потеря ASN сама по себе не означает, что bulletproof-хостинг прекратил работу», и указывает на необходимость ужесточения процедуры регистрации ASN.
Этот вывод подкрепляется совместным рекомендательным документом CISA, ФБР и международных партнёров, согласно которому провайдеры bulletproof-хостинга способны получить новый ASN в течение двух-пяти рабочих дней и мигрировать вредоносные IP-диапазоны на него, обходя таким образом фильтрацию по ASN. Для защитников сетей это означает, что блокировка конкретного домена или ASN — необходимая, но недостаточная мера. Мониторинг должен охватывать замещающие домены, новые ASN и перемещение IP-диапазонов.
Рекомендации
- Мониторинг индикаторов: домены
virtualine.netиvirtualine.orgследует добавить в списки блокировки. Однако необходимо также отслеживать появление новых доменов и ASN, связанных с известными псевдонимами сервиса (Secury, Massgod, Spamhouse, Lanedo, Omegatech). - Блокчейн-аналитика: организациям, работающим с криптовалютными транзакциями, рекомендуется проверить наличие связей с адресами, ассоциированными с Virtualine, через инструменты блокчейн-аналитики.
- Не полагаться на единичные меры: изъятие домена — точечное действие. Защита от bulletproof-хостинга требует многоуровневого подхода: репутационная фильтрация, анализ сетевых потоков, мониторинг BGP-анонсов для выявления миграции вредоносной инфраструктуры.
- Проверка поставщиков хостинга: IP-брокеры со слабыми процедурами проверки клиентов остаются ключевым звеном, позволяющим bulletproof-хостингам получать новые ресурсы. Организациям стоит учитывать репутацию вышестоящих провайдеров при оценке рисков.
Дело Virtualine наглядно демонстрирует системную проблему: bulletproof-хостинг как сервис продолжает существовать благодаря лёгкости получения новых сетевых ресурсов и слабой верификации со стороны IP-брокеров. Изъятие домена — значимый шаг, но, как показывают наблюдения Silent Push и рекомендации CISA, оно не ликвидирует инфраструктуру целиком. Командам безопасности следует сосредоточиться не на факте изъятия конкретного домена, а на выстраивании процессов обнаружения миграции вредоносной инфраструктуры — мониторинге новых ASN, BGP-анонсов и связанных IP-диапазонов.
