A infraestrutura que sustenta ransomware, phishing e comando e controle (C2) sofreu uma sequência rara de golpes ao longo do último ano: sanções coordenadas dos Estados Unidos, Reino Unido e Austrália, apreensões de servidores e a revelação de uma denúncia federal contra três operadores de bulletproof hosting com base em São Petersburgo. O alvo não foi um grupo de invasores, mas o serviço que aluga servidores sabendo do uso criminoso que farão deles. Para equipes de segurança, a lição é dupla: derrubar um provedor desloca o ataque em vez de eliminá-lo, e a detecção precisa acompanhar clusters de infraestrutura, não listas de endereços isolados.
O que o bulletproof hosting oferece
Provedores de bulletproof hosting alugam infraestrutura de internet a criminosos com baixo risco de desligamento. A análise da Intel 471 descreve a combinação típica: políticas permissivas, tratamento de abuso lento ou ausente, jurisdições isoladas, camadas de revenda, rotação frequente de infraestrutura e relações com redes upstream que dificultam derrubadas. O catálogo acompanha o mercado criminal completo: servidores de C2, portais de extorsão e sites de vazamento, kits de phishing e páginas de coleta de credenciais, lojas de cartões, botnets de spam, proxies e VPNs de anonimização, além de servidores de preparação e distribuição de malware.
Não se trata de hospedagem comum com abuso tolerado por descuido. Operadores históricos anunciavam serviços em fóruns criminais destacando justamente as vantagens para o cliente criminoso. O ator conhecido como yalishanda — identificado pela Intel 471 como Alexander Volosovik desde 2017 — hospedou payloads usados por campanhas Hancitor, Dridex e várias operações de ransomware. Já a rede fast-flux do ccweb serviu as campanhas LockBit, Conti e Gozi ISFB, além de páginas de coleta de credenciais. O modelo evoluiu desde os tempos da Russian Business Network: em vez de servidores físicos em jurisdições permissivas, o padrão predominante mistura VPS descartáveis, nuvens legítimas e rotação de endereços IP para escapar de blocklists.
A queda do Media Land
Em 14 de julho de 2026, a Justiça americana revelou denúncia de dezembro de 2024 contra Alexander Volosovik, Kirill Zatolokin e Yulia Pankova e contra as empresas Medialand LLC e ML.Cloud LLC, ambas de São Petersburgo. Segundo o Departamento de Justiça, os serviços foram usados para infectar máquinas com malware e ransomware, extorquir vítimas, sustentar marketplaces criminosos, registrar domínios fraudulentos e lançar ataques de phishing e força bruta. Foram 42 vítimas em 21 estados, incluindo bancos, escolas, governos, hospitais e empresas de mídia, com perdas de US$ 62 milhões. As infraestruturas operavam não só da Rússia, mas também da China, Finlândia, Países Baixos e Estados Unidos.
A pressão veio por várias frentes ao mesmo tempo. Em 1º de julho de 2025, o Tesouro americano sancionou o Aeza Group, usado por BianLian, pelos infostealers Lumma, Meduza e RedLine e pelo mercado BlackSprut. Em 19 de novembro de 2025, sanções contra a Media Land e empresas ligadas ganharam adesão integral do Reino Unido e parcial da Austrália. Em 13 de julho de 2026, a União Europeia sancionou Volosovik, Media Land e ML Cloud. A revelação da denúncia veio acompanhada de uma recompensa de até US$ 10 milhões do programa Rewards for Justice. Antes disso, o colapso já aparecia no submundo: no fim de abril de 2026, o serviço fast-flux de yalishanda saiu do ar por dias, o ator foi banido do fórum Exploit e um registro judicial russo de 30 de abril de 2026 indicou prisão domiciliar ligada a fraude financeira. A Intel 471 documentou interrupções e apreensões de vários provedores de bulletproof hosting entre julho de 2025 e julho de 2026, resultado de um pico de operações policiais.
Por que a derrubada não basta
O efeito colateral dessas ações é conhecido: deslocamento. A Intel 471 conclui que operações que removem um operador sem apreender ou desabilitar a infraestrutura associada produzem interrupção temporária seguida de migração de clientes, gestão delegada ou rebranding — sem degradação duradoura do mercado. A resiliência também é técnica. O advisório Fast Flux: A National Security Threat, das agências dos EUA, Austrália, Canadá e Nova Zelândia, alerta que o fast flux permite criar infraestrutura de comando e controle resistente e de alta disponibilidade, ocultando operações maliciosas: um único domínio gira dezenas de endereços IP (single flux) e, na variável double flux, até os servidores DNS responsáveis pela resolução mudam rápido. Bloquear um endereço não derruba o domínio; bloquear o domínio exige detectar o padrão, não o endereço.
Essa é a mesma lógica de abuso de serviços legítimos vista em campanhas recentes do portal: o botnet IoT que disfarça C2 de tráfego STUN do Google e a persistência do Flax Typhoon por SoftEther disfarçado. Quando o tráfego malicioso se esconde em serviços e protocolos confiáveis, a decisão defensiva deixa de ser uma lista de bloqueio e passa a ser análise comportamental.
Sinais para detectar a infraestrutura
Os dois relatórios convergem num ponto operacional: monitorar clusters. DNS passivo, logs de certificados, dados de sistema autônomo e registros de domínio revelam continuidade além da rotação de IPs. A tabela resume os sinais prioritários.
| Sinal | O que indica | Ação |
|---|---|---|
| TTL baixo com rotação rápida de registros A | Single flux | Ativar detecção e bloqueio no DNS protetor |
| Registros NS que mudam com frequência | Double flux | Investigar o domínio e os name servers compartilhados |
| Pool grande de IPs em vários sistemas autônomos | Hospedagem rotativa ou fast-flux | Enriquecer com DNS passivo e telemetria histórica |
| Certificado recém-emitido para domínio novo | C2 em formação | Monitorar logs de transparência de certificados |
| Histórico de abuso do ASN do provedor | Bulletproof ou upstream permissivo | Aplicar controle por domínio, IP e comportamento, com evidência |
A Intel 471 faz uma ressalva central: não bloquear provedores inteiros só por associação. Redes de nuvem e de uso misto atendem clientes legítimos e criminosos ao mesmo tempo, e o bloqueio amplo gera falso positivo caro. O controle precisa de evidência por domínio, endereço, certificado e comportamento.
Ações prioritárias P1 e P2
P1: implantar ou validar detecção de fast flux no DNS protetor, com alertas para mudanças rápidas de DNS, TTLs anormalmente baixos e pools rotativos de IPs; preservar telemetria histórica — resoluções DNS, certificados, registros WHOIS e relações de hospedagem — para que o time consiga identificar migração e rebranding depois de cada derrubada pública.
P2: priorizar ativos que migraram recentemente, porque domínios e IPs antes ligados a provedores desarticulados seguem maliciosos atrás de novos provedores ou proxies reversos; monitorar provedores e revendedores emergentes por anúncios, identificadores e métodos de pagamento; enviar pacotes completos de evidência a registrars, provedores, CERTs e autoridades; e revisar regras que bloqueiam sistemas autônomos inteiros, substituindo-as por controles baseados em evidência.
A derrubada do Media Land mostra que a pressão sobre a infraestrutura criminal funciona, mas o retorno esperado é deslocamento, não desaparecimento. Times que tratam cada apreensão como gatilho para revisar detecção, enriquecer histórico e esperar a reencarnação da infraestrutura saem na frente — porque o próximo C2 do ransomware que atingir a organização provavelmente já estará no ar antes do anúncio da operação que derrubou o anterior.