สรุปสั้น

Bulletproof hosting (BPH) คือ ผู้ให้บริการเซิร์ฟเวอร์ที่ขายความ “ไม่สนใจคำร้องเรียน” ให้ลูกค้าสายอาชญากรรม ทำให้เว็บฟิชชิง เซิร์ฟเวอร์ C2 และร้านค้าผิดกฎหมายอยู่รอดได้นานกว่าปกติ ล่าสุดกระทรวงยุติธรรมสหรัฐฯ (DoJ) ประกาศเมื่อวันอังคารที่ 27 ตุลาคม 2026 ว่าสำนักงานสอบสวนกลางสหรัฐฯ (FBI) ยึดโดเมน virtualine[.]net ของ Virtualine ผู้ให้บริการ BPH ที่เคยใช้ชื่อ Secury, Massgod, Spamhouse, Lanedo และ Omegatech ปฏิบัติการนี้ทำร่วมกับตำรวจรัฐเฮสเซินของเยอรมนี ตำรวจแห่งชาติเนเธอร์แลนด์ หน่วยงาน NCA ของสหราชอาณาจักร และภาคเอกชนอย่าง Lumen Technologies

ข้อกล่าวหาหลักมี 2 ด้าน ด้านแรก Virtualine ยังโฮสต์ฟอรัมที่ซื้อขายภาพทางเพศของผู้เยาว์ต่อไป แม้ถูกแจ้งเตือนซ้ำจากหลายประเทศ ทั้งที่โฆษณาว่าห้ามเนื้อหาเด็ก ด้านที่สอง Virtualine รับบิตคอยน์ผ่านกระเป๋าเงินที่ไม่ผ่านกระดานเทรด จึงไม่ถูกตรวจตามมาตรการป้องกันการฟอกเงิน (AML) แล้วฟอกเงินต่อ บริษัท Chainalysis พบว่าเงินในเครือข่ายนี้เชื่อมโยงทั้งแรนซัมแวร์ infostealer และฟอรัมอาชญากรภาษารัสเซีย

ผู้ดำเนินการ Virtualine ปฏิเสธข้อกล่าวหาผ่านจดหมายเปิดผนึก ส่วนบริษัท Silent Push เตือนว่าการเสียโดเมนหรือ ASN ไม่ได้แปลว่า BPH หยุดให้บริการ เพราะผู้ให้บริการกลุ่มนี้หาช่วง IP ใหม่ได้เร็ว ผู้ดูแลเครือข่ายจึงควรบล็อกช่วง IP ที่ผูกกับ Virtualine และไล่ตรวจทราฟฟิกที่เคยติดต่อโครงสร้างพื้นฐานนี้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่า DoJ ประกาศยึดโดเมนของ Virtualine หลังพบว่าบริการนี้ถูกใช้ก่อและอำนวยความสะดวกให้อาชญากรรมจำนวนมาก ได้แก่ การโฆษณาภาพทางเพศของผู้เยาว์ การเผยแพร่ภาพลับโดยไม่ได้รับความยินยอม และการฟอกเงินข้ามชาติ ปัจจุบันผู้เข้าโดเมน virtualine[.]net จะเห็นข้อความว่า FBI ยึดโดเมนแล้ว

ตามเอกสารศาล Virtualine โฆษณาบนฟอรัมอาชญากรรมไซเบอร์ว่าบริการรองรับฟิชชิง คาร์ดดิง (ใช้ข้อมูลบัตรที่ขโมยมา) สแปมอีเมล และการสแกนพอร์ต โดยห้ามแค่เนื้อหาเด็กกับการก่อการร้าย เมื่อเดือนมิถุนายน 2025 ผู้ให้บริการโพสต์อวดบน HackForums ว่าเพิกเฉยต่อคำร้องเรียนมากกว่าใคร และเมื่อมีนาคม 2026 เริ่มขาย “แผนคุ้มครองเพิ่มเติม” ที่สัญญาว่าจะย้ายโครงสร้างพื้นฐานของลูกค้าไปไว้ใต้บริษัทเปลือกที่ไม่เกี่ยวกับ Virtualine เมื่อได้รับคำขอจากเจ้าหน้าที่

ภาพบันทึกจาก Internet Archive แสดงว่าแพ็กเกจมาตรฐานราคาตั้งแต่ 19.99 ดอลลาร์ต่อเดือน (1 vCPU หน่วยความจำ 2 GB) ไปจนถึง 179.99 ดอลลาร์ต่อเดือน (24 vCPU หน่วยความจำ 64 GB) และมีแพ็กเกจที่ปรับตาม CPU หน่วยความจำ หรือพื้นที่เก็บข้อมูล ราคา 21.99–379.99 ดอลลาร์ต่อเดือน

ด้าน DoJ ระบุว่า Virtualine โฮสต์เว็บที่เอกสารศาลเรียกว่า “Vendor 1” ซึ่งเป็นฟอรัมขายสิทธิ์เข้าถึงภาพและวิดีโอโป๊ของผู้เยาว์และผู้ใหญ่ และยังมีบริการรับจ้างแฮ็กบัญชีออนไลน์ของเหยื่อเพื่อเอาภาพลับ ในเดือนมกราคม 2026 ราว 1 เดือนหลัง Virtualine ให้ IP แก่ Vendor 1 ก็เริ่มได้รับแจ้งเรื่องภาพทางเพศของผู้เยาว์บนเซิร์ฟเวอร์นั้น แต่ยังโฮสต์ต่อแม้ได้รับแจ้งจากเจ้าหน้าที่เยอรมนี แคนาดา ออสเตรเลีย ศูนย์ NCMEC ของสหรัฐฯ และทนายความของเหยื่อ DoJ ยังกล่าวหาว่า Virtualine ร่วมสร้างเว็บใหม่ให้ลูกค้าของ Vendor 1 อัปโหลดและซื้อเนื้อหา และเว็บนั้นยังโฮสต์อยู่กับ Virtualine จนถึงวันที่ประกาศ

ด้านบริษัท Chainalysis ระบุว่า Virtualine รับบิตคอยน์โดยตรงผ่านกระเป๋าเงินแบบ unhosted ทำให้ลูกค้าจ่ายเงินได้โดยไม่ผ่านการตรวจของกระดานเทรด และร่องรอยบนบล็อกเชนเชื่อมโยงกับระบบนิเวศอาชญากรรมไซเบอร์หลายส่วน ทั้งผู้ให้บริการแรนซัมแวร์ โครงสร้างพื้นฐาน infostealer ฟอรัมอาชญากรภาษารัสเซีย ร้านค้าผิดกฎหมาย และที่อยู่กระเป๋าของการหลอกลวงและฟิชชิง

ฝั่งผู้ดำเนินการ Virtualine ออกจดหมายเปิดผนึกหลังถูกยึดโดเมน ยืนยันว่าไม่ได้ตั้งใจโฮสต์เนื้อหาละเมิดทางเพศเด็ก (CSAM) อ้างว่าตอบคำขอความร่วมมือเรื่อง CSAM ภายใน 24 ชั่วโมง และเลิกให้บริการ Vendor 1 แล้ว พร้อมโพสต์ในช่อง Telegram ว่าข้อมูลลูกค้าปลอดภัย ข้อกล่าวหาทั้งหมดยังเป็นของฝ่ายโจทก์ในเอกสารศาล และยังไม่มีการเปิดเผยว่ามีผู้ถูกจับกุมหรือตั้งข้อหาหรือไม่

วิธีการโจมตี

ขายความ “ไม่ตอบคำร้องเรียน” เป็นจุดขาย — Virtualine ไม่ได้เจาะระบบใครเอง แต่เป็นโครงสร้างพื้นฐานให้ลูกค้าที่ทำฟิชชิง คาร์ดดิง สแปม และสแกนพอร์ต จุดขายหลัก คือ เซิร์ฟเวอร์ไม่ถูกปิดแม้มีคนร้องเรียน และแผนเสริมที่สัญญาว่าจะย้ายโครงสร้างพื้นฐานของลูกค้าไปไว้ใต้บริษัทเปลือกเมื่อเจ้าหน้าที่ขอข้อมูล ทำให้การสืบย้อนถึงตัวลูกค้าช้าลง

จ่ายเงินแบบเลี่ยงการตรวจ — ช่องทางจ่ายเงินที่ Virtualine ระบุเองว่า “NO-AML” ใช้ที่อยู่บิตคอยน์แบบ unhosted ซึ่งไม่ผ่านกระดานเทรดที่ต้องตรวจตัวตนลูกค้า ลูกค้าจึงจ่ายเงินที่มาจากอาชญากรรมได้โดยไม่ถูกตั้งธง จากนั้น DoJ กล่าวหาว่า Virtualine ฟอกเงินต่อเพื่อปกปิดที่มา

หาช่วง IP ใหม่ได้เร็ว — โครงการ Spamhaus รายงานตั้งแต่กันยายน 2025 ว่า Virtualine ขยายไปใช้ AS209800 โดยอาศัยนายหน้าขาย IP ในตุรกีและสหรัฐฯ ที่ตรวจลูกค้าหละหลวม และ ASN นี้ถูก route ผ่านบริษัท aurologic GmbH ซึ่งเป็นผู้ให้บริการที่มี BPH รายอื่นอาศัยอยู่ด้วย นี่ คือ เหตุผลที่ Silent Push เตือนว่าการยึดโดเมนหรือเสีย ASN อาจแค่ทำให้ BPH ย้ายบ้าน ไม่ได้หยุดให้บริการ

ผลกระทบ

กลุ่มที่ได้รับผลกระทบโดยตรง คือ เหยื่อของเนื้อหาละเมิดทางเพศและการรับจ้างแฮ็กบัญชีที่ฟอรัม Vendor 1 ใช้ Virtualine เป็นฐาน ส่วนผลทางอ้อมกระจายไปทั่วระบบนิเวศอาชญากรรมไซเบอร์ เพราะร่องรอยเงินของ Virtualine โยงทั้งแรนซัมแวร์ infostealer และฟิชชิง ซึ่งแปลว่าเซิร์ฟเวอร์ C2 และหน้าฟิชชิงจำนวนหนึ่งที่โจมตีองค์กรทั่วไปอาจเคยอาศัยอยู่บนโครงสร้างพื้นฐานนี้

ในระยะสั้น การยึดโดเมนตัดช่องทางขายและรับเงินหน้าร้านของ Virtualine และเปิดทางให้เจ้าหน้าที่ใช้ข้อมูลการจ่ายเงินไล่ย้อนไปหาลูกค้า แต่ข้อจำกัดสำคัญ คือ เซิร์ฟเวอร์ที่ลูกค้าเช่าอยู่อาจยังทำงานต่อ และผู้ให้บริการอาจย้ายไป ASN ใหม่ได้ภายในเวลาสั้น ผลจริงของปฏิบัติการจึงต้องรอดูว่ามีการจับกุมหรือยึดเซิร์ฟเวอร์ตามมาหรือไม่

คำแนะนำ

  • บล็อกช่วง IP ที่ผูกกับ Virtualine — เพิ่มช่วง IP ของ AS209800 และช่วงที่ Spamhaus หรือ Silent Push ระบุว่าเป็นของ Virtualine ลงในไฟร์วอลล์และเว็บพร็อกซี เพราะ BPH แทบไม่มีบริการที่องค์กรต้องใช้งานจริง
  • ไล่ล็อกย้อนหลัง — ค้นล็อก DNS พร็อกซี และไฟร์วอลล์ย้อนหลังหลายเดือนว่ามีเครื่องในองค์กรติดต่อ virtualine[.]net หรือช่วง IP ข้างต้นหรือไม่ การติดต่อขาออกไปยัง BPH มักเป็นสัญญาณของ C2 หรือ infostealer
  • ติดตาม feed ของ BPH — สมัครรายการบล็อกอย่าง Spamhaus DROP/ASN-DROP และ threat intel ที่ติดตาม BPH เพราะผู้ให้บริการกลุ่มนี้เปลี่ยนชื่อและช่วง IP บ่อย
  • ตรวจลูกค้าให้เข้มสำหรับผู้ให้บริการ IP และโฮสติ้ง — นายหน้าขาย IP และผู้ให้บริการ upstream ควรตรวจตัวตนลูกค้าก่อนโอนช่วง IP หรือ route ASN เพราะความหละหลวมจุดนี้ คือ สิ่งที่ทำให้ Virtualine กลับมาได้เร็ว

แหล่งอ้างอิง