27 жовтня 2026 року Міністерство юстиції США повідомило про вилучення домену virtualine.net, що належав провайдерові так званого bulletproof-хостингу — послуги, в межах якої оператор свідомо ігнорує скарги на зловживання з боку клієнтів. За даними Мін’юсту, сервіс використовувався для розміщення матеріалів сексуальної експлуатації неповнолітніх, поширення інтимних зображень без згоди жертв і міжнародного відмивання грошей. Операція проводилася спільно з поліцією землі Гессен (Німеччина), поліцією Нідерландів, Національним агентством з боротьби зі злочинністю Великої Британії, а також приватними компаніями OverRIPE і Lumen Technologies. Організаціям, які застосовують блокування за доменами або ASN для захисту від шкідливої інфраструктури, слід враховувати, що вилучення одного домену не гарантує повного припинення роботи пов’язаної інфраструктури.
Що являв собою Virtualine
Згідно із судовими документами, на які посилається Мін’юст, Virtualine діяв також під іменами Secury, Massgod, Spamhouse, Lanedo і Omegatech. Сервіс відкрито рекламував свої послуги на кіберзлочинних форумах, заявляючи, що клієнти можуть використовувати хостинг для фішингу, кардингу, розсилання спаму та сканування портів. Єдиними заявленими обмеженнями були дитячий контент і тероризм.
У червні 2025 року на форумі HackForums оператор, за даними обвинувачення, хвалився, що «Virtualine проігнорував більше скарг, ніж троє ваших останніх терапевтів». У березні 2026 року сервіс почав пропонувати «план додаткового захисту»: у разі отримання офіційного запиту від правоохоронних органів інфраструктура клієнта переносилася до підставної компанії, формально не пов’язаної з Virtualine.
Обвинувачення Мін’юсту та позиція оператора
Центральне обвинувачення стосується клієнта, позначеного в судових документах як «Vendor 1» — кримінального форуму, на якому розміщувалися й продавалися відверті зображення неповнолітніх, а також пропонувалися послуги зі зламу акаунтів на замовлення. За версією Мін’юсту, Virtualine продовжував обслуговувати Vendor 1 навіть після отримання численних повідомлень від правоохоронних органів Німеччини, Канади та Австралії, від Національного центру у справах зниклих і експлуатованих дітей (NCMEC) у США та від адвоката однієї з жертв. Більш того, обвинувачення стверджує, що Virtualine активно співпрацював з Vendor 1 у створенні окремого сайту для завантаження й скачування нелегального контенту.
Важливо зазначити, що ця хронологія оскаржується. Оператор Virtualine опублікував відкрите письмо, в якому заперечує свідоме розміщення матеріалів сексуальної експлуатації дітей. За його твердженням, усі отримані скарги на подібний контент опрацьовувалися протягом 24 годин, а стосунки з Vendor 1 були припинені після виявлення заборонених матеріалів. Оператор також заявив про готовність співпрацювати з владою щодо питань, пов’язаних із Vendor 1. У доступних матеріалах не виявлено незалежної перевірки жодної з версій хронології подій — судові документи, на які посилається Мін’юст, публічно недоступні.
Криптовалютні потоки та масштаб екосистеми
За даними Мін’юсту, Virtualine приймав оплату через так звані «BTC [NO-AML]» — некастодіальні біткоїн-адреси, що дозволяли клієнтам платити напряму без проходження перевірок на відповідність вимогам щодо протидії відмиванню грошей. Компанія Chainalysis у власному аналізі незалежно підтвердила механізм прямих платежів через некастодіальні гаманці. При цьому обвинувачення в подальшому відмиванні отриманих коштів для приховування їх походження в доступних матеріалах залишається переважно заснованим на заявах Мін’юсту.
Chainalysis також повідомляє, що блокчейн-слід Virtualine демонструє прямі зв’язки з широким спектром кіберзлочинної екосистеми: операторами програм-вимагачів, інфраструктурою інфостілерів, російськомовними кіберзлочинними форумами, нелегальними магазинами, а також адресами, пов’язаними з шахрайством і фішингом.
Вилучення домену не означає ліквідацію інфраструктури
Компанія Silent Push у своєму аналізі операції зафіксувала, що Omegatech — один із псевдонімів Virtualine — не був повністю відключений після вилучення домену. Його мережеві префікси демонстрували вкрай низьку видимість маршрутизації, що вказує на серйозні проблеми на боці оператора, але не на повне припинення роботи. Silent Push підкреслює: «Втрата ASN сама по собі не означає, що bulletproof-хостинг припинив роботу», і вказує на необхідність посилення процедури реєстрації ASN.
Цей висновок підкріплюється спільним рекомендаційним документом CISA, ФБР та міжнародних партнерів, згідно з яким провайдери bulletproof-хостингу здатні отримати новий ASN протягом двох-п’яти робочих днів і мігрувати шкідливі IP-діапазони на нього, обходячи таким чином фільтрацію за ASN. Для захисників мереж це означає, що блокування конкретного домену або ASN — необхідний, але недостатній захід. Моніторинг має охоплювати замінні домени, нові ASN і переміщення IP-діапазонів.
Рекомендації
- Моніторинг індикаторів: домени
virtualine.netіvirtualine.orgслід додати до списків блокування. Втім, необхідно також відстежувати появу нових доменів і ASN, пов’язаних із відомими псевдонімами сервісу (Secury, Massgod, Spamhouse, Lanedo, Omegatech). - Блокчейн-аналітика: організаціям, що працюють із криптовалютними транзакціями, рекомендується перевірити наявність зв’язків із адресами, асоційованими з Virtualine, через інструменти блокчейн-аналітики.
- Не покладатися на поодинокі заходи: вилучення домену — точкова дія. Захист від bulletproof-хостингу вимагає багаторівневого підходу: репутаційна фільтрація, аналіз мережевих потоків, моніторинг BGP-анонсів для виявлення міграції шкідливої інфраструктури.
- Перевірка постачальників хостингу: IP-брокери зі слабкими процедурами перевірки клієнтів залишаються ключовою ланкою, що дозволяє bulletproof-хостингам отримувати нові ресурси. Організаціям варто враховувати репутацію вищестоящих провайдерів під час оцінки ризиків.
Справа Virtualine наочно демонструє системну проблему: bulletproof-хостинг як сервіс продовжує існувати завдяки легкості отримання нових мережевих ресурсів і слабкій верифікації з боку IP-брокерів. Вилучення домену — значущий крок, але, як показують спостереження Silent Push і рекомендації CISA, воно не ліквідує інфраструктуру повністю. Командам безпеки варто зосередитися не на факті вилучення конкретного домену, а на вибудовуванні процесів виявлення міграції шкідливої інфраструктури — моніторингу нових ASN, BGP-анонсів і пов’язаних IP-діапазонів.
