Politie haalt bulletproof hoster Virtualine uit Limburg
De politie heeft in een datacentrum in Limburg tientallen fysieke servers in beslag genomen van Virtualine, een hostingbedrijf dat op criminele fora adverteerde met volledige anonimiteit. De FBI nam tegelijk het hoofddomein over. Volgens de politie zijn daarmee honderden virtuele servers offline gegaan en liggen de gegevens van meer dan drieduizend klanten op tafel.
Wat er in beslag is genomen
Volgens de NOS ging het woensdag om een internationaal onderzoek naar een zogeheten bulletproof hoster: een hostingpartij die zich bewust op een criminele klantenkring richt en belooft klachten en vorderingen van autoriteiten af te houden. De politie verdenkt Virtualine van medeplichtigheid aan het faciliteren van cybercriminaliteit, waaronder het verspreiden van kinderpornografisch materiaal, phishing en ransomware-aanvallen.
Aan de Nederlandse kant deed Politie Midden-Nederland het onderzoek. BleepingComputer meldt dat de FBI het domein virtualine.net overnam en dat verder de Duitse Polizei Hessen, de Britse National Crime Agency en de private partners OverRIPE en Lumen meewerkten. De dienst opereerde ook onder de namen Secury, Massgod, Spamhouse, Lanedo en Omegatech.
Het Amerikaanse ministerie van Justitie schrijft dat Virtualine diensten aanbood die "illegal/black hat activities" toestonden, van phishing en spam tot carding en portscans. Volgens het ministerie hostte de beheerder bovendien bewust een forum dat materiaal van kindermisbruik promootte en negeerde hij herhaalde meldingen van opsporingsdiensten, van het Amerikaanse meldpunt NCMEC en van de advocaat van een slachtoffer. Toen de druk op dat forum toenam, zou Virtualine met de beheerders aan een nieuwe site hebben gewerkt die nog altijd bij het bedrijf staat. De beheerder van Virtualine ontkent in een open brief op een nieuw domein, vastgelegd door beveiligingsbedrijf Silent Push, dat hij misbruik van kinderen zou faciliteren.
Het geldspoor
Virtualine accepteerde bitcoin rechtstreeks in zelfbeheerde wallets, waardoor klanten de compliancecontroles van een beurs omzeilden. Blockchainbedrijf Chainalysis, dat de opsporing ondersteunde, koppelt de betaaladressen aan ransomwaregroepen, infrastructuur voor infostealers, Russischtalige criminele fora, illegale winkels en phishingplatforms.
Analysebedrijf TRM komt in een eigen rapport tot een verdeling van de geldstromen die afwijkt van het beeld dat de naam ransomware oproept: ransomwaregroepen waren verantwoordelijk voor zo'n 5 procent, terwijl een Russische drugsmarktplaats ongeveer 44 procent besloeg. Een grootschalige sextortion-operatie en een mixer waren volgens TRM eveneens belangrijke bronnen. Het bedrijf ziet dit jaar ook betalingen vanuit de infostealer StealC, met transacties die op een vaste relatie wijzen.
Waarom de klantenlijst het belangrijkste is
De servers uit Limburg leveren de politie de gegevens van meer dan drieduizend klanten die de infrastructuur voor criminele activiteiten gebruikten. De politie laat weten dat vervolgacties tegen die klanten lopen. Bij de Duitse en Amerikaanse kant van het onderzoek zijn volgens de NOS al verdachten opgespoord en is cryptovaluta in beslag genomen.
Dat maakt deze actie wezenlijk anders dan een domeinbeslag alleen. Een bulletproof hoster die wordt afgesloten, is binnen weken elders terug; een klantenadministratie die in handen van opsporingsdiensten valt, is dat niet. Voor de honderden virtuele servers die nu uit de lucht zijn, geldt dat de politie die bij de inbeslagname van de fysieke machines heeft meegenomen.