De FBI heeft het domein virtualine.net in beslag genomen. Volgens gerechtelijke stukken gaat het om de website van een zogenaamde bulletproof host Virtualine, een hostingdienst die aan meerdere soorten cybercriminaliteit werd gekoppeld en die wetshandhaving zou hebben geholpen om takedowns te ontwijken.
Voor wie betrokken is bij illegale activiteiten betekent een domeinbeslag vooral dat een bekende toegangspoort wegvalt. Maar het is geen garantie dat de gehele infrastructuur en dienstverlening meteen stopt.
Wat is er precies gebeurd met virtualine.net?
De FBI greep in op virtualine.net, het domein dat wordt geassocieerd met een Russische-sprekende provider voor “bulletproof hosting”. Dat type hosting staat bekend om het bieden van een afschermlaag voor criminele diensten, waarbij makers proberen minder kwetsbaar te zijn voor online verwijderingen.
In rechtbankdocumenten staat dat de partij, ook bekend onder meerdere namen, klanten zou hebben gefaciliteerd voor het draaien van illegale services en pogingen van wetshandhaving om die uit de lucht te halen zou hebben bemoeilijkt.
Meerdere namen, één hostingrol
De provider werd niet alleen onder de naam Virtualine aangeduid. Volgens de bron zijn er ook varianten of aliassen genoemd zoals Secury, Massgod, Spamhouse, Lanedo en Omegatech.
Dit soort naamswijzigingen zie je vaker bij cybercriminele infrastructuur: zodra een domein of merknaam wordt geraakt, kan men proberen verder te gaan via andere identiteiten of nieuwe toegangspunten.
Welke illegale activiteiten werden gekoppeld?
Op cybercrimefora zou de partij reclame hebben gemaakt voor ondersteuning bij uiteenlopende activiteiten. In de bron worden onder meer de volgende typen genoemd:
- phishing
- spam
- carding (frauduleuze betaalkaartactiviteiten)
- diensten en “verplaatsing” naar infrastructuur die niet direct aan dezelfde aanbieder gekoppeld is
- het claimen van bewust negeren van meldingen over misbruik
Daarnaast wordt beschreven dat de hostingdienst het plaatsen en verhandelen van expliciete content zou hebben ondersteund, inclusief content met minderjarigen. Ook wordt in de bron melding gemaakt van ten minste één klant die zou hebben aangeboden hack-for-hire te leveren om seksueel expliciete content van online accounts te stelen.
Tot slot wordt Virtualine in verband gebracht met het ondersteunen van klanten die werkten als ransomware-groepen en een infostealer-operator, volgens blockchain- en threat-intelligence-informatie van TRM Labs.
Waarom is een domeinbeslag belangrijk, maar niet genoeg?
TRM Labs benadrukt dat een domeinbeslag vooral verstoort hoe klanten de dienst vinden en benaderen. Het legt niet automatisch vast dat de operator volledig is gestopt, noch dat klanten de onderliggende infrastructuur volledig kwijt zijn.
Met andere woorden: het effect is vaak direct zichtbaar (de bekende domeinnaam werkt niet meer), maar de “achterliggende” hostingcomponenten kunnen in theorie elders blijven draaien of snel worden omgezet naar alternatieven.
Dat maakt incidentrespons en risicobeperking niet minder relevant voor organisaties. Zie ook ons stuk over Bron: https://www.securityweek.com/bulletproof-host-virtualine-loses-its-domain-to-fbi-seizure/
