ФБР изъяло домен Virtualine, а полиция получила данные более 3000 клиентов
27 октября 2026 года ФБР получило контроль над основным доменом русскоязычного bulletproof-хостера Virtualine в рамках международной операции с участием правоохранителей США, Нидерландов, Германии и Великобритании. Одновременно в дата-центре в нидерландской провинции Лимбург изъяли десятки физических серверов, что отключило сотни виртуальных машин. Полиция заявляет, что получила данные более чем о 3000 клиентах. TRM Labs дополнительно установила, что около 44% прямых поступлений на размеченные Bitcoin-адреса Virtualine приходилось на один российский наркомаркет, название которого аналитики не раскрывают.Что именно изъяли в операции против Virtualine
Минюст США сообщил 27 октября о санкционированном судом изъятии virtualine.net - основного сайта Virtualine. В американских судебных материалах сервис также связывается с названиями Secury, Massgod, Spamhouse, Lanedo и Omegatech.Операция не ограничилась перенаправлением домена на страницу ФБР. На следующий день полиция Нидерландов сообщила об изъятии десятков физических серверов, находившихся в дата-центре провинции Лимбург. Вместе с ними перестали работать сотни размещенных на оборудовании виртуальных серверов.
По данным нидерландской полиции, следователям достались данные и другая информация более чем о 3000 клиентах, которые использовали эту инфраструктуру для преступной деятельности. Эти материалы планируется использовать в дальнейших расследованиях в отношении пользователей сервисов.
Virtualine открыто рекламировал устойчивость к жалобам и полиции
По версии американского следствия, Virtualine позиционировал себя именно как bulletproof-хостинг - инфраструктуру для клиентов, которым обычный провайдер отказал бы из-за жалоб или противоправной деятельности. Сервис рекламировался на русскоязычном форуме Exploit и англоязычном HackForums.Минюст США приводит рекламу сентября 2024 года, где Virtualine разрешал использование серверов для фишинга, кардинга, почтового спама, сканирования портов и других незаконных задач, устанавливая лишь отдельные собственные запреты.
Особенно показательной была дополнительная услуга, рекламировавшаяся в марте 2026 года. После официального запроса правоохранительных органов клиенту обещали перенести инфраструктуру на другую подставную компанию, формально не связанную с Virtualine, после чего снова запустить сервер. Это уже выходит за рамки обычной пассивной политики игнорирования жалоб и, по версии обвинения, показывает сознательную попытку сохранять клиентскую инфраструктуру после вмешательства полиции.
Один российский наркомаркет дал около 44% прямых Bitcoin-поступлений
Финансовую сторону инфраструктуры отдельно изучила TRM Labs. Аналитики исследовали размеченные Bitcoin-адреса Virtualine и обнаружили прямые платежи от различных участников криминальной онлайн-экономики.На один российский наркомаркет пришлось примерно 44% прямых поступлений на исследованные адреса. Название площадки TRM не раскрывает. Еще около 17% аналитики связали с крупной схемой сексуального вымогательства, примерно 13% - с криптовалютным миксером и около 5% - с группами вымогателей.
Эти проценты требуют осторожной интерпретации. Речь идет не о 44% всей выручки Virtualine и не о доказанной доле серверов, занятых наркомаркетом. TRM анализирует прямые криптовалютные поступления на известные ей Bitcoin-адреса. Наличие платежей подтверждает финансовое взаимодействие, но сами транзакции не раскрывают, какая именно инфраструктура или услуга приобреталась за конкретный перевод.
Почему Virtualine обвиняют в сознательном обслуживании преступной инфраструктуры
Американские власти утверждают, что инфраструктура Virtualine использовалась программами-вымогателями, инфостилерами, фишинговыми проектами и другими криминальными сервисами. Отдельная часть дела касается клиента, обозначенного в судебных документах как Vendor 1, который размещал незаконный сексуальный контент и сервисы получения чужих данных.По версии Минюста США, Virtualine получал многочисленные уведомления о противоправном контенте от правоохранительных органов нескольких стран, американского Национального центра по делам пропавших и эксплуатируемых детей и представителя одной из пострадавших, но продолжал обслуживать клиента. Оператор Virtualine после операции публично отверг обвинение в сознательном размещении материалов сексуального насилия над детьми.
Таким образом, в этой части пока существуют две противоположные позиции: обвинение утверждает, что администрация была уведомлена и продолжала предоставлять инфраструктуру, тогда как оператор отрицает сознательное участие. Опубликованного приговора, устанавливающего виновность владельца Virtualine, нет.
Изъятие домена не означает полного исчезновения хостера
Захват virtualine.net сделал недоступной основную витрину сервиса, а изъятие серверов в Нидерландах нанесло удар по реальной инфраструктуре. Но ни одно из этих действий само по себе не доказывает, что вся сеть Virtualine уничтожена или оператор потерял возможность продолжить работу.Через несколько часов после операции на другом домене появилось открытое письмо от имени владельца Virtualine. Его автор заявил, что способен сменить бренд, создать новый сайт и продолжить деятельность примерно за день или даже быстрее. В Telegram-канале сервиса одновременно утверждалось, что данные клиентов находятся в безопасности.
Независимые исследователи Silent Push после операции также отмечали, что связанная с Virtualine инфраструктура Omegatech не исчезла полностью из интернета, хотя видимость ее сетевых префиксов резко снизилась. Поэтому корректнее говорить о серьезном нарушении работы и изъятии части инфраструктуры, а не о доказанной полной ликвидации сервиса.
Похожее различие между захватом публичной точки входа и реальным прекращением инфраструктуры важно учитывать и при других международных операциях. PavRC ранее разбирал изъятие домена и закрытие форума XSS.is, где действия правоохранителей также затрагивали одновременно техническую и организационную стороны проекта.
Итог
Операция против Virtualine вышла значительно дальше простой подмены страницы сайта. ФБР получило контроль над основным доменом, в Нидерландах были физически изъяты десятки серверов и отключены сотни виртуальных машин, а следствие получило сведения более чем о 3000 клиентах.Для аудитории PavRC особенно заметна финансовая связь с неназванным российским наркомаркетом, на который, по данным TRM Labs, приходилось около 44% прямых Bitcoin-поступлений на размеченные адреса Virtualine. Однако эта цифра не показывает долю всего бизнеса хостера и не раскрывает, какие конкретно услуги покупала площадка. Сам оператор заявил о возможности быстрого перезапуска, поэтому реальный долгосрочный эффект операции станет понятен только по дальнейшей активности инфраструктуры и последующим уголовным делам в отношении ее пользователей.
Редакция PavRC