FBI apreende a Virtualine, hospedagem 'à prova de bala' usada por criminosos, e pagamentos em bitcoin ligam o serviço a ransomware e drogas

O FBI apreendeu o domínio virtualine.net, endereço principal da Virtualine, um serviço de hospedagem “à prova de bala” (bulletproof hosting) que, segundo o Departamento de Justiça dos Estados Unidos, alugava servidores a criminosos com a promessa de ignorar denúncias de abuso e pedidos da polícia, e a análise dos pagamentos em bitcoin recebidos pela empresa a liga a grupos de ransomware, a ladrões de dados, a um mercado russo de drogas e a um esquema de sextorsão, segundo o The Record e as empresas de análise de blockchain Chainalysis e TRM Labs.

A apreensão

A apreensão, autorizada pela Justiça, foi anunciada em 27 de outubro de 2026 pelo escritório de campo do FBI em Washington e pela Procuradoria Federal do Distrito Leste da Virgínia, e a página do serviço foi substituída por um aviso de apreensão.

A investigação, que o site Help Net Security diz ter recebido o nome de Operação Omegaline, foi liderada pelo FBI com ajuda da polícia do estado alemão de Hessen, da polícia da região central da Holanda (Politie Midden-Nederland) e da Agência Nacional de Crime (NCA) do Reino Unido, além de parceiros privados, entre eles a OverRIPE, uma coalizão de pesquisadores independentes dedicada a hospedagem maliciosa, a Lumen e a Chainalysis.

O Departamento de Justiça não identificou os operadores da Virtualine nem anunciou acusações criminais junto com a apreensão do domínio, segundo o The Record.

O que era a Virtualine

A Virtualine também operava com os nomes Secury, Massgod, Spamhouse, Lanedo e Omegatech e vendia hospedagem, servidores e registro de domínios a clientes recrutados em fóruns de crime cibernético, e, segundo os autos citados pelo The Record, se anunciava para “todas as atividades ilegais”, como phishing, fraude com cartões e envio de spam, embora dissesse proibir terrorismo e material de abuso sexual infantil.

Em junho de 2025, a empresa se gabou no fórum HackForums de ter “ignorado mais denúncias de abuso do que os seus três últimos terapeutas”, e, em março de 2026, passou a vender um “plano de proteção adicional” que prometia, ao receber um pedido oficial da polícia, transferir a infraestrutura do cliente para “outra empresa de fachada, não ligada à Virtualine”, e reativar o servidor, segundo a Chainalysis e o Help Net Security.

Os promotores acusam a Virtualine de hospedar, sabendo do que se tratava, um fórum criminoso que vendia acesso a imagens íntimas de adultos e de menores, divulgadas sem consentimento, e que anunciava invasores de contas sob encomenda para roubar esse tipo de conteúdo.

A partir de janeiro de 2026, autoridades da Alemanha, do Canadá e da Austrália, o Centro Nacional para Crianças Desaparecidas e Exploradas (NCMEC) e o advogado de uma vítima avisaram a empresa sobre esse material no servidor do fórum, mas, em vez de encerrar o serviço, a Virtualine ajudou os operadores a montar um novo site para enviar e baixar o conteúdo, segundo o Departamento de Justiça citado pelo The Record.

O rastro do bitcoin

A Virtualine recebia pagamentos por um serviço que chamava de “BTC [NO-AML]”, numa referência às verificações contra lavagem de dinheiro, e o Departamento de Justiça descreveu esse serviço como “endereços de bitcoin específicos e não custodiados, que permitiam aos clientes pagar diretamente sem preocupação de que os fundos fossem sinalizados como ilícitos”, segundo o Help Net Security.

Os promotores dizem que a empresa tentou lavar esse dinheiro para esconder a origem, mas parte dos pagamentos pôde ser rastreada até grupos criminosos, segundo o The Record.

A Chainalysis, que deu apoio de inteligência à investigação, diz que os endereços de pagamento da Virtualine têm ligação direta com operadores de ransomware, com a infraestrutura de programas que roubam credenciais (infostealers), com fóruns de crime cibernético em língua russa, com lojas ilícitas e com endereços de golpes e phishing.

A TRM Labs, que já acompanhava a Virtualine antes da apreensão, afirma que, em 2026, o serviço foi o provedor de hospedagem desse tipo que mais recebeu criptomoeda de origem considerada ilícita entre os que a empresa monitora, embora não estivesse entre os maiores em valor total recebido.

Pela análise da TRM, cerca de 44% das entradas diretas vieram de um mercado russo de drogas, cerca de 17% de um grande esquema de sextorsão, entre fevereiro e junho de 2026, cerca de 13% de um misturador de criptomoedas (mixer) e cerca de 5% de grupos de ransomware, e houve ainda pagamentos do programa StealC ao longo de 2026 e de outro provedor do mesmo tipo, o Volhav.

A própria TRM ressalva que esses pagamentos estabelecem relações financeiras com a hospedagem, mas não identificam, sozinhos, quais ataques ou serviços rodavam na infraestrutura, e que as transferências não informam a finalidade.

A apreensão não encerra o serviço

A TRM lembra que tirar o domínio do ar atrapalha o acesso dos clientes, mas não prova que o operador parou de trabalhar nem que os clientes perderam o acesso à infraestrutura, e que os endereços já identificados continuam disponíveis para monitoramento, o que pode mostrar saques para corretoras que identificam clientes, novos pagamentos ou a migração para outros provedores.

Horas depois da apreensão, a Virtualine publicou uma carta aberta num segundo domínio, virtualine.org, contestando as acusações, garantiu aos seguidores no Telegram que os dados deles estavam seguros e admitiu que “poderia mudar de marca, montar um novo site e seguir em frente”, algo que levaria um dia ou menos, segundo o Help Net Security.

A empresa de inteligência Silent Push, que acompanhava a rede desde 11 de fevereiro de 2026, quando viu infraestrutura passar de um provedor desse tipo conhecido, o Railnet, para uma rede recém-registrada chamada Omegatech, diz que partes dessa rede continuam acessíveis, embora com visibilidade de roteamento muito baixa, e contou 50 provedores desse tipo que perderam seus números de sistema autônomo (ASN) nos últimos 12 meses.

Um alerta conjunto publicado em novembro de 2025 pela CISA, pelo FBI, pelo Centro Nacional de Segurança Cibernética (NCSC) britânico e por outros órgãos adverte que esses provedores conseguem um novo ASN em dois a cinco dias úteis e transferem para ele as mesmas faixas de endereços IP.

O The Record lembra que a ação faz parte de uma série de operações internacionais contra esse tipo de hospedagem, como as sanções contra a Zservers, em fevereiro de 2025, e contra a Aeza Group, em julho de 2025, e que a empresa de inteligência Intel 471 relatou em agosto que as derrubadas vêm levando os clientes a provedores novos, montados por antigos revendedores, fragmentando o mercado em vez de acabar com a demanda.