🌐 Contexte

Source : BleepingComputer, publié le 28 octobre 2026. Le Département de Justice américain (DOJ) et le FBI, en coopération avec des autorités européennes, ont procédé à la saisie du domaine principal de Virtualine, un service d’hébergement bulletproof actif depuis au moins 2022.

🎯 Entités impliquées

Virtualine opérait également sous les noms Secury, Massgod, Spamhouse, Lanedo et Omegatech. Le service se commercialisait sur des forums cybercriminels en promettant de protéger ses clients des plaintes légales et des demandes des autorités.

L’opération a impliqué :

  • FBI (États-Unis)
  • Polizei Hessen (Allemagne)
  • Politie Midden-Nederland (Pays-Bas)
  • National Crime Agency (Royaume-Uni)
  • Partenaires privés : OverRIPE et Lumen
  • Support en intelligence blockchain : Chainalysis et TRM

🛠️ Activités facilitées

Virtualine hébergeait et facilitait :

  • Phishing, spamming, carding, port scanning
  • Ransomwares (5% des flux financiers selon TRM)
  • Infostealers (dont StealC)
  • Botnets
  • Forums cybercriminels russophones
  • Boutiques illicites et arnaques
  • Un marché de drogues russe (≈44% des flux financiers)
  • Un schéma de sextorsion et un mixer
  • Hébergement de matériel d’abus sexuel sur mineurs (CSAM)

💰 Blanchiment via Bitcoin

Virtualine acceptait des paiements directs en Bitcoin via des portefeuilles non hébergés (unhosted wallets), permettant aux clients criminels de contourner les programmes de conformité des exchanges. Chainalysis a lié les adresses de paiement à des opérateurs de ransomware, infrastructures d’infostealers et forums cybercriminels. TRM a confirmé une relation financière continue avec le stealer StealC en 2026.

⚖️ Résultats de l’opération

  • Saisie du domaine virtualine.net
  • Saisie de dizaines de serveurs physiques à Limburg (Pays-Bas), mettant hors ligne des centaines de serveurs virtuels
  • Récupération de données sur plus de 3 000 clients de Virtualine
  • Des actions de suivi contre les clients sont en cours
  • L’opérateur a publié une lettre ouverte de contestation sur virtualine.org
  • L’infrastructure présente une très faible visibilité de routage, suggérant une large inaccessibilité

📰 Nature de l’article

Article de presse spécialisée relatant une opération de police internationale contre un hébergeur bulletproof, avec des éléments d’analyse financière blockchain et d’écosystème cybercriminel.

🧠 TTPs et IOCs détectés

TTP

  • T1566 — Phishing (Initial Access)
  • T1583.003 — Acquire Infrastructure: Virtual Private Server (Resource Development)
  • T1496 — Resource Hijacking (Impact)
  • T1657 — Financial Theft (Impact)
  • T1486 — Data Encrypted for Impact (Impact)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 29 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • StealC (stealer)

🟢 Indice de vérification factuelle : 68/100 (haute)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 4187 chars — texte complet (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ✅ 2/2 IOCs confirmés (ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • virtualine.net (domain) → VT (4/92 détections)
  • virtualine.org (domain) → VT (5/92 détections)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/police-seize-virtualine-bulletproof-service-tied-to-ransowmare-cybercrime/