Pays-Bas, Allemagne et FBI saisissent Virtualine, un hébergeur qui promettait l'impunité aux pirates

Dans un centre de données de la province néerlandaise du Limbourg, des dizaines de serveurs physiques ont été saisis. Avec eux, plusieurs centaines de serveurs virtuels se sont éteints. La police néerlandaise a annoncé le 28 octobre cette opération contre Virtualine, un hébergeur dit « pare-balles » (bulletproof) : il promettait à ses clients de rester anonymes et d'ignorer les plaintes comme les demandes des forces de l'ordre.

L'action était coordonnée. Selon la police néerlandaise, la police allemande et le FBI ont agi au même moment contre les suspects et saisi des cryptomonnaies. Le FBI a pris le contrôle du domaine principal, virtualine.net. D'après BleepingComputer, la police de Hesse, l'agence britannique NCA (National Crime Agency) et des partenaires privés ont aussi participé. Aucune arrestation n'a été annoncée.

Qui hébergeait Virtualine ?

Selon la police néerlandaise, la plateforme servait depuis au moins 2022 à des rançongiciels, à des réseaux de machines piratées (botnets), à des logiciels voleurs de mots de passe, à des campagnes d'hameçonnage et à la diffusion de contenus pédocriminels. D'après BleepingComputer, le département de la Justice américain affirme qu'elle vantait ses services pour des activités « illégales ». Elle opérait aussi sous d'autres noms, comme Secury, Massgod et Omegatech.

L'argent permet de mesurer ce rôle. Le service acceptait des paiements directs en bitcoins. Chainalysis, qui a assisté les enquêteurs, relie ses adresses de paiement à des opérateurs de rançongiciels et à des outils de vol de données. Une autre société d'analyse, TRM Labs, attribue environ 5 % des sommes reçues à des groupes de rançongiciels. Environ 44 % des flux viendraient, selon TRM, d'une place de marché russe de stupéfiants. TRM a aussi relevé des paiements venant du voleur de mots de passe StealC.

Les autorités américaines reprochent en outre à l'exploitant d'avoir sciemment hébergé un forum pédocriminel malgré des signalements répétés. Dans une lettre ouverte citée par BleepingComputer, l'exploitant conteste et estime que les accusations « méritent une enquête équitable ».

Après l'hébergeur, ses clients

Le point le plus important est peut-être ailleurs. La police néerlandaise indique détenir les données de plus de 3 000 clients qui utilisaient ces serveurs à des fins criminelles. Elle annonce des suites contre eux.

Pour les entreprises, la saisie a un effet plus immédiat : des centaines de serveurs virtuels hébergés chez Virtualine ont été mis hors ligne. Selon BleepingComputer, le service reste partiellement en ligne, mais ses blocs d'adresses sont presque invisibles sur Internet, ce qui laisse penser qu'une grande partie de son infrastructure ne serait plus joignable.

La question est de savoir combien de temps ses clients mettront à trouver un nouvel hébergeur. Les Pays-Bas, eux, prennent des mesures pénales et administratives contre les hébergeurs « pare-balles », annoncées par le ministre de la Justice dans une lettre de juillet.