Wprowadzenie do problemu / definicja luki
Policja w Niderlandach (Politie) poinformowała, iż 12 listopada 2025 r. przejęła infrastrukturę złożoną z ok. 250 fizycznych serwerów należących do dostawcy tzw. bulletproof hostingu. Usługodawca reklamował pełną anonimowość i brak współpracy z organami ścigania; jego zasoby były wykorzystywane wyłącznie do działalności przestępczej (ransomware, botnety, phishing, a choćby dystrybucja materiałów CSAM). Serwery stały w Hadze i Zoetermeer, a ich zajęcie wyłączyło tysiące serwerów wirtualnych obsługiwanych na tej infrastrukturze.
W skrócie
- Data operacji: 12 listopada 2025 r.; komunikat policji: 14 listopada 2025 r.
- Skala: ~250 serwerów fizycznych; skutkowe wyłączenie tysięcy VM.
- Miejsca: data centers w Hadze i Zoetermeer.
- Historia sprawy: hoster przewijał się w >80 postępowaniach od 2022 r.
- Aresztowania: na tym etapie brak informacji o zatrzymaniach.
- Identyfikacja dostawcy: nazwa nieujawniona; media łączą sprawę z CrazyRDP (informacja niepotwierdzona przez Policję).
- Powiązania z Operacją Endgame: równoległe działania w NL (przeszukania, 83 serwery i 20 domen) – sprawy są rozłączne według Policji cytowanej przez BleepingComputer.
Kontekst / historia / powiązania
„Bulletproof hosting” to segment usług, w którym operatorzy celowo ignorują abuse i wnioski o usunięcie treści, nie egzekwują KYC, dopuszczają płatności krypto i promują anonimowość klientów. Tego typu platformy są ekosystemowym „multiplikatorem” dla kampanii ransomware, phishingu, C2 botnetów i baz wykradzionych danych. Opisywany hoster działał co najmniej od 2022 r., a jego zasoby pojawiały się w wielu dochodzeniach zarówno w NL, jak i za granicą.
W tym samym tygodniu Europol ogłaszał kolejny etap Operation Endgame (ponad 1 025 serwerów zaburzeń/zdjętych globalnie, 20 domen, 11 przeszukań, w tym 9 w NL), jednak niderlandzka Policja – za pośrednictwem BleepingComputer – wskazała, iż te dwa wątki nie są ze sobą połączone.
Analiza techniczna / szczegóły luki
- Warstwa fizyczna i wirtualna: zajęto ~250 „metalowych” serwerów, co „kaskadowo” wyłączyło tysiące instancji wirtualnych (VPS/RDP), typowych dla tanich, łatwo skalowalnych hostów wybieranych przez przestępców.
- Model usługowy: oferta bez-KYC, „no-logs”, akceptacja krypto – minimalizuje ślady transakcyjne, utrudniając atrybucję.
- Profil użycia: C2 dla botnetów, infrastrukturę phishingową, staging malware i – w skrajnych przypadkach – CSAM. To mieszanka, którą Policja wprost przypisała temu hosterowi.
- (Nie)ujawniona tożsamość: BleepingComputer wskazuje na CrazyRDP na podstawie źródeł i obserwacji (m.in. nagłe czyszczenie kanału Telegram, skargi klientów), ale bez potwierdzenia organów – stąd należy traktować to jako hipotezę, nie fakt.
Praktyczne konsekwencje / ryzyko
- Zakłócenie kampanii: odcięcie tysięcy VM to natychmiastowe przerwanie wielu łańcuchów ataku (hosting payloadów, panele C2, landing pages). Krótkoterminowo można oczekiwać spadku wolumenu z danego ekosystemu.
- Efekt rozproszenia: operatorzy przestępczy zwykle migrują do alternatywnych hosterów lub budują nową infrastrukturę – jednak koszt, czas i ryzyko ekspozycji rosną. (Wątek ten potwierdza praktyka obserwowana przy równoległej Operacji Endgame).
- Ryzyko wtórne dla legalnych klientów DC: doniesienia lokalnych mediów i społeczności NL sugerują, iż akcja dotyczyła konkretnych klientów kolokacyjnych, a nie całych obiektów; mimo to incydenty tego typu mogą chwilowo dotknąć współlokatorów (np. zajęcie błędnie zidentyfikowanych maszyn).
Rekomendacje operacyjne / co zrobić teraz
- Hunting & telemetry:
- Przejrzyjcie ostatnie DNS/HTTP egress i połączenia do instancji w NL (The Hague/Zoetermeer), które nagle „zamilkły” po 12.11 – to potencjalne wskaźniki wcześniejszego C2/hostingów.
- Korelujcie alerty „orphaned beacons” w EDR/NDR po nagłym zniknięciu serwerów C2.
- Blokady sieciowe:
- Tymczasowe sinkhole/blackhole dla znanych zakresów AS-ów i adresacji powiązanych z wyłączoną infrastrukturą (gdy tylko pojawią się IOCs z dochodzenia – śledźcie komunikaty Policji/Europolu).
- Phishing & web defense:
- Zaostrzyć WAF/anty-phishing dla świeżych domen i tanich TLD; hosterzy bulletproof często rotują „jednodniowe” domeny i certyfikaty DV.
- Procesy wewnętrzne:
- Aktualizujcie playbooki IR o scenariusz „masowe wyłączenie C2 u dostawcy”, aby szybciej identyfikować „martwe” kanały i zastępować je detekcjami host-based.
- Threat intel:
- Monitorujcie komunikaty Policji NL oraz źródła branżowe (BleepingComputer, Tweakers, NL Times) pod kątem publikacji zakresów IP/AS, hashy i domen wynikłych z analizy powłamaniowej przejętej infrastruktury.
Różnice / porównania z innymi przypadkami (jeśli dotyczy)
W lutym 2025 r. holenderska Policja wyłączyła 127 serwerów należących do innego bulletproof hostera (ZServers), co odbywało się pod parasolem sankcji–dochodzeń międzynarodowych. Obecna akcja jest większa na poziomie skutku (tysiące VM) i dotyczy innego podmiotu; dodatkowo – w odróżnieniu od wątków Endgame – Policja podkreśla brak powiązania między obiema historiami.
Podsumowanie / najważniejsze wnioski
- Trafione węzły infrastruktury przestępczej mają realny, natychmiastowy efekt na wolumen kampanii.
- Tożsamość hostera nie została oficjalnie ujawniona; łączenie z konkretnymi markami (np. CrazyRDP) pozostaje niepotwierdzone.
- Obrońcy powinni wykorzystać okno obserwowalności (nagłe wyciszenie C2/hostingów) do huntingu i aktualizacji detekcji.
- Ekosystem przestępczy ma tendencję do odbudowy – kluczowa jest szybkość publikacji i konsumpcji IOC oraz kooperacja z LE.
Źródła / bibliografia
- Komunikat Policji NL (14.11.2025): szczegóły operacji, skala (250 fiz.), lokalizacje, >80 spraw od 2022 r. (Politie)
- BleepingComputer (17.11.2025): podsumowanie akcji, rozróżnienie względem Endgame, wątek CrazyRDP (niepotwierdzony). (BleepingComputer)
- Tweakers (14.11.2025): lokalne uzupełnienia nt. datacenter i przebiegu. (Tweakers)
- NL Times (14.11.2025): potwierdzenia (brak aresztowań, >80 spraw), „thousands of virtual servers”. (NL Times)
- Europol – Operation Endgame (listopad 2025): tło równoległej operacji (1 025 serwerów, 20 domen). (Europol)
