In questo articolo Indice dei contenuti 2 sezioni
Le forze dell’ordine statunitensi hanno sequestrato il dominio principale di Virtualine, un servizio di bulletproof hosting che da anni veniva pubblicizzato nei forum di cybercrime come rifugio sicuro per chi aveva bisogno di portare avanti attività illegali senza troppi fastidi. Il servizio operava anche con altri nomi, cioè Secury, Massgod, Spamhouse, Lanedo e Omegatech, e prometteva ai clienti protezione da reclami legali e da richieste provenienti dalle forze di polizia o da altre autorità.
Il Dipartimento di Giustizia degli Stati Uniti ha confermato che Virtualine pubblicizzava apertamente servizi che consentivano attività illegali e da black hat, dal phishing allo spam, passando per il carding fino alla scansione delle porte. A materializzare il sequestro del dominio virtualine[.]net è stata l’FBI, al termine di un’indagine che ha coinvolto la Polizei Hessen in Germania, la Politie Midden Nederland nei Paesi Bassi e la National Crime Agency del Regno Unito, con il supporto di due partner privati come OverRIPE e Lumen.
Le accuse sul materiale pedopornografico e la replica dell’operatore
Il punto più delicato dell’intera vicenda riguarda i contenuti legati all’infanzia. In apparenza il provider aveva fissato un limite proprio su questo fronte, eppure secondo le autorità l’operatore avrebbe ospitato consapevolmente un forum online che promuoveva materiale pedopornografico, ignorando le ripetute segnalazioni arrivate dalle forze dell’ordine, dal National Center for Missing and Exploited Children e dall’avvocato di una vittima. Quando la pressione legale sul forum è aumentata, sempre stando alle accuse, Virtualine avrebbe collaborato con gli amministratori per allestire un nuovo sito.
“Virtualine ospita ancora oggi questo nuovo sito web, che ha già ricevuto almeno una segnalazione di abuso per immagini sessualmente esplicite di minori”, ha dichiarato il Dipartimento di Giustizia. L’amministratore del servizio ha respinto l’accusa con una lettera aperta indirizzata alle autorità e pubblicata su un nuovo dominio, virtualine[.]org, intercettata dalla società di sicurezza informatica Silent Push. Nel testo il gestore sostiene che le contestazioni sulle attività illecite e sulla clientela del servizio “meritano un’indagine equa”, ma definisce lo sfruttamento sessuale dei minori “un crimine contro l’umanità”.
Bitcoin, ransomware e oltre 3.000 clienti nel mirino
Sul piano economico il quadro che emerge è piuttosto articolato. Virtualine accettava pagamenti diretti in Bitcoin, aiutando così i criminali informatici a ripulire proventi sottratti altrove. Chainalysis, società specializzata nell’analisi della blockchain che ha fornito supporto investigativo, ha collegato gli indirizzi di pagamento della piattaforma a operatori di ransomware, infrastrutture di infostealer, forum criminali in lingua russa, negozi illeciti, truffe e piattaforme di phishing. Secondo l’azienda, il provider riceveva bitcoin attraverso wallet non custoditi, permettendo ai clienti di pagare senza che i loro fondi venissero segnalati dai programmi di conformità degli exchange, e successivamente riciclava quei proventi per nasconderne l’origine.
Anche TRM, un’altra realtà attiva nell’intelligence sulla blockchain, ha pubblicato un’analisi sui flussi di denaro. I gruppi ransomware avrebbero generato il 5% dei movimenti finanziari di Virtualine, mentre un mercato russo di stupefacenti ne rappresentava circa il 44%. Tra le principali fonti di fondi figurano inoltre un ampio schema di sextortion, cioè di estorsione a sfondo sessuale, e un servizio di mixer. Nel corso di quest’anno la piattaforma avrebbe ricevuto pagamenti anche dall’infostealer StealC, con transazioni che lasciano intendere un rapporto economico costante.
La polizia olandese, dal canto suo, ha comunicato di aver sequestrato decine di server fisici nel Limburgo, mandando offline centinaia di server virtuali. Gli investigatori hanno recuperato i dati di oltre 3.000 clienti del servizio e sono già in corso azioni di follow up nei loro confronti. Per le autorità dei Paesi Bassi la piattaforma illegale avrebbe facilitato operazioni criminali almeno dal 2022, tra ransomware, botnet, infostealer, phishing e diffusione di materiale pedopornografico.
Il provider di bulletproof hosting risulta ancora parzialmente raggiungibile, anche se i ricercatori hanno osservato che i suoi prefissi di rete mostrano in questo momento una visibilità di instradamento molto bassa, un segnale che fa pensare a una buona parte dell’infrastruttura ormai non più accessibile.
Fonte: TecnoAndroid