基础设施

2026年10月27日，美国司法部弗吉尼亚东区检察官办公室与联邦调查局（FBI）华盛顿外勤办公室宣布，经法院授权查封网站域名virtualine.net。该域名属于Virtualine——一家面向犯罪客户公开推广服务的俄语“防弹主机”（bulletproof hosting）提供商，亦以Secury、Massgod、Spamhouse、Lanedo、Omegatech等名称出现。美方称，该服务被用于实施并便利大量犯罪活动，包括未成年人性剥削图像的广告与传播、未经同意公开成年人及未成年人私密影像，以及旨在掩盖并推动犯罪的国际洗钱。 调查由FBI华盛顿外勤办公室主导，德国黑森州警察（Polizei Hessen）、荷兰中荷兰警察（Politie Midden-Nederland）、英国国家犯罪局（NCA）以及私营部门合作伙伴OverRIPE与Lumen提供重要协助。司法部国际事务办公室亦提供支持。弗吉尼亚东区第一助理检察官Theophani K. Stamos与FBI华盛顿外勤办公室助理主任Darren B. Cox对外公布了这一结果。 什么是“防弹主机” 防弹主机是一类有意无视滥用投诉、DMCA下架通知及执法请求的网络与服务器托管服务。通过提供难以被关停的离岸基础设施，这类服务商为勒索软件命令与控制服务器、钓鱼工具包、恶意软件分发、盗卡商店、信息窃取木马日志及非法市场等提供持久运行环境。 美国网络安全机构在2025年11月19日发布的联合指南《Bulletproof Defense: Mitigating Risks from Bulletproof Hosting Providers》中指出，此类服务可用于快速切换混淆、命令与控制、恶意软件投递、钓鱼及托管非法内容，进而支持勒索软件、数据勒索与拒绝服务攻击等。 Virtualine的公开营销与“额外保护计划” Virtualine于2024年8月28日加入暗网论坛Exploit.in，并自称自2019年起运营。它在Exploit.in、HackForums等暗网论坛向犯罪分子公开推广服务，宣称提供“离岸网络托管、防弹云服务器、防弹域名与专用机器”，价格起价约每月0.79美元。客户可通过两个Telegram账号联系。 2024年9月，Virtualine在Exploit.in上对用户表示：“你可以用Virtualine做所有非法/黑帽活动（包括钓鱼、盗卡、邮件垃圾、端口扫描等），儿童色情内容和恐怖主义活动除外。”2025年6月，它在HackForums上宣称：“Virtualine忽略的滥用投诉比你过去三个治疗师还多。” 2026年3月，Virtualine开始推销“额外保护计划”：一旦收到执法部门正式请求，会将客户的犯罪基础设施迁移到与Virtualine无关的空壳公司，再重新激活服务器。 尽管声称禁止儿童色情内容，仍被控托管相关论坛 美方称，尽管Virtualine对外宣称不允许服务器上出现“儿童内容”，却明知故犯地托管了一个犯罪在线论坛（法院文件中称为Vendor 1）。该论坛允许用户发布并出售未成年人及成年人的裸露、性暗示或性露骨图像与视频，并推广“有偿黑客”服务，供用户付费让黑客在未经同意情况下侵入受害者在线账户、获取露骨影像。 2026年1月，Virtualine为Vendor 1分配IP地址约一个月后，开始收到该服务器存在未成年人性露骨图像与视频的通知。尽管接到德国、加拿大、澳大利亚执法部门，美国失踪与受剥削儿童国家中心（NCMEC），乃至一名受害者律师的多起通知，Virtualine仍继续托管Vendor 1的服务。此外，Virtualine还与Vendor 1合作搭建新网站，供其客户上传非法内容并在购买后下载。美方称，Virtualine至今仍在托管该新网站，且已至少收到一次关于该网站发现儿童性露骨图像的滥用投诉。 加密货币支付与链上资金流向 Virtualine向客户提供多种支付方式，包括接受BTC（无AML）、通过特定未托管比特币地址直接收款，使客户无需担心资金因非法来源被标记。美方称，犯罪客户支付的资金部分可直接追溯至各类犯罪组织，Virtualine收款后进一步洗钱以掩盖资金来源。 区块链分析公司TRM Labs称，2026年迄今，在其标记的防弹主机提供商中，Virtualine收到的“非法归因”加密货币金额最多，尽管总流入金额低于部分同行。Virtualine客户构成显示了为该基础设施付费的犯罪活动范围之广：其直接客户包括勒索软件组织、信息窃取木马运营者以及一家俄罗斯毒品市场。2026年，勒索软件组织约占Virtualine直接流入的约5%，一家俄罗斯毒品市场约占约44%；一个大型性勒索团伙和一个资金混合器也是其主要资金来源。 Chainalysis称，Virtualine通过未托管钱包地址接受比特币直接支付，并洗钱以掩盖来源。链上足迹显示其与勒索软件运营者、信息窃取木马基础设施、俄语网络犯罪论坛、非法商店以及诈骗与钓鱼地址存在直接关联。StealC信息窃取木马在2026年全年持续向Virtualine付款；另一防弹主机提供商Volhav也是其直接交易对手，表明该领域服务商之间存在基础设施转售关系。 TRM指出，在其标记的防弹主机板块中，2026年第三季度流入金额较2025年第一季度约高4%，入账交易笔数则高出约60%。全行业直接付款方包括Coinbase Cartel、The Gentlemen、INC、DragonForce、Qilin等勒索软件组织，以及StealC、Matanbuchus加载器等恶意软件运营者，还有暗网市场、非法商品与服务运营者、僵尸网络与恶意软件分发服务，以及与儿童性剥削材料相关的网站；混币器也贡献了相当比例资金。 此次查封的意义与后续可能的发展 域名查封打断了客户查找与访问该服务的途径，但本身并不等于运营者已停止活动，或客户已失去全部底层基础设施。TRM与Chainalysis均表示，已标记的相关加密货币地址仍可在链上监测：后续交易可能显示向合规交易所提现、继续向Virtualine已知地址付款，或转向其他防弹主机；客户活动也可能显示向替代服务商迁移。 Chainalysis称，此次行动凸显防弹主机是支撑勒索软件、信息窃取木马与网络诈骗规模化的基础性基础设施。对加密货币合规团队而言，接触已知防弹主机支付地址可视为更广泛下游风险的早期信号。Chainalysis已在其产品套件中标记与Virtualine相关的加密货币地址。

维护Tor匿名网络和相关浏览器的组织Tor Project正在继续将其基础设施从以前由Team Cymru提供的基础设施转移出去，Team Cymru是一家互联网监测公司，它捐赠了硬件和其他资源。该组织在一份声明中告诉Motherboard，Tor项目现在预计迁移工作将在春季完成。 在Motherboard报道称Team Cymru向美国军方的多个分支机构出售了一种名为“Augury”的互联网监控工具后，Tor项目于10月宣布了这一举措。Augury部分基于互联网服务提供商提供的数据，并声称覆盖了全球90%的互联网流量。一名举报人还声称，隶属于海军的民事执法机构NCIS参与了未经授权的使用和购买这些数据。 Tor项目的通信主管Pavel Zoneff告诉Motherboard，该组织已经“取得了很大进展，包括进行重大投资以扩展我们自己的服务器基础设施。我们已经迁移了最关键的功能，目前正在跟踪今年春季结束前的完成情况。一旦过渡完成，我们将分享更新信息。” 在Tor项目10月的公告中，Tor项目执行董事Isabela Fernandes提到Team Cymru多年来向Tor捐赠了“硬件和大量带宽。这些主要是网络镜像，用于构建和模拟机器等内部项目。”Fernandes写道，Tor社区对Tor项目使用Team Cymru的基础设施表示担忧。 鉴于Tor项目与Team Cymru的任务之间存在冲突，“继续接受Team Cymru的基础设施捐赠是不可行的，”Fernandes写道，并补充说，自2022年初以来，Tor项目一直在计划搬出一些东西。在Motherboard的报道之后，这些努力似乎更加认真地进行了。 Team Cymru的首席执行官Rob Thomas也是Tor项目的董事会成员，Motherboard在其报告中指出了这一点。他于2022年8月4日离开。在10月的博客文章中，Fernandes解释说，Tor项目的工作人员和志愿者在2021年底对Thomas的董事会职位表示担忧。这引发了内部讨论。“在这些谈话中，很明显，尽管Cymru团队可能提供与Tor使命背道而驰的服务，但没有迹象表明Rob Thomas在提供这些服务方面的作用对Tor用户造成了任何直接风险，这是我们最关心的问题。”Fernandes写道。 “但当然，不积极危害我们的用户是一个低标准，”Fernandes继续说道。“对Team Cymru的商业模式和Tor的使命之间的内在脱节提出质疑是合理的，Tor的使命包括为所有人提供私人和匿名的互联网访问。Rob Thomas选择从董事会辞职的原因是他自己的，但自从我们最初的谈话以来的几个月里，Team Cymru的工作如何与Tor项目的使命相抵触，已经变得越来越清楚。” 互联网监控平台Augury 互联网监控平台Augury由网络安全公司Team Cymru开发，捆绑了大量数据，并作为付费服务提供给政府和企业客户。在私营行业，网络安全分析师使用它来跟踪黑客的活动或确定网络攻击的原因。在政府领域，分析师也可以做同样的事情，但处理刑事调查的机构也购买了这种能力。军事机构没有描述他们对该工具的使用情况。然而，该工具的销售仍然突出了Team Cymru如何获得这种有争议的数据，然后作为一项业务出售，这一点让网络安全行业的多个来源感到震惊。 “网络数据包括来自全球550多个收集点的数据，包括欧洲、中东、北美/南美、非洲和亚洲的收集点，并且每天至少有1000亿条新记录的更新。”Motherboard审查的一份美国政府采购记录中对Augury平台的描述是这样的。它补充说，Augury提供对“PB级”的当前和历史数据的访问。 Motherboard发现，美国海军、陆军、网络司令部以及国防反情报和安全局总共支付了至少350万美元来访问Augury。这使得军方可以使用数量惊人的敏感信息来跟踪互联网的使用情况。Motherboard已经广泛报道了美国机构如何通过简单地购买私营公司的商业数据来获得在某些情况下需要搜查令或其他法律机制的数据。最常见的情况是，这些销售围绕着从智能手机上获取的位置数据。Augury的购买行为表明，这种购买数据的方式也延伸到了与互联网使用更直接相关的信息。 Team Cymru在其网站上表示，其解决方案提供了“对互联网上绝大多数活动的访问权限”。“Augury是93%的互联网流量的可见性，”另一个描述该工具的网站写道。根据Team Cymru的网站，一些客户可以使用不同品牌名称Pure Signal RECON来访问该平台。 Augury平台有哪些数据 根据在线采购记录，Augury平台为其用户提供了大量不同类型的互联网数据。这些类型的数据包括与电子邮件、远程桌面和文件共享协议有关的包捕获数据（PCAP）。 PCAP通常指的是完整的数据捕获，包含了非常详细的网络活动信息。PCAP数据包括从一个服务器发送到另一个服务器的请求，以及该服务器的响应。Augury的数据还可以包括网络浏览器活动，例如访问的URL和Cookie等详细信息。