bulletproof hosting

Bulletproof hosting (BPH, „kuloodporny” hosting) to usługa hostingowa świadczona przestępcom, której dostawca świadomie ignoruje zgłoszenia nadużyć i prośby o usunięcie treści. Amerykańska agencja CISA definiuje dostawcę BPH jako dostawcę infrastruktury internetowej, który świadomie wynajmuje ją cyberprzestępcom ^[5]. Instytut Cyberbezpieczeństwa opisuje go jako firmę, która przymyka oko na doniesienia o działalności przestępczej i nie reaguje na skargi ^[2]. Na takich serwerach działają panele phishingowe, serwery C2 (command and control) i strony rozsyłające złośliwe oprogramowanie.

Jak działa

Dostawca bulletproof hostingu technicznie nie różni się od zwykłego hostingu. Różnica leży w tym, jak traktuje klienta. Według Departamentu Skarbu USA dostawcy BPH sprzedają dostęp do serwerów i innej infrastruktury zaprojektowanej tak, by unikać wykrycia i opierać się próbom zakłócenia przestępczej działalności przez organy ścigania ^[3].

Typowe cechy takiej usługi opisano przy sprawie polskiej platformy LolekHosted: rozbudowana warstwa anonimowości bez gromadzenia logów, płatności wyłącznie w kryptowalutach i bardzo liberalna polityka wobec klientów ^[2]. Brak logów utrudnia śledztwo, a płatność w kryptowalutach utrudnia ustalenie, kto zamówił serwer.

Reakcja na zgłoszenie nadużycia bywa pozorna. W sprawie rosyjskiego dostawcy Zservers libańska firma zgłosiła adres IP użyty w ataku ransomware LockBit. Administratorzy wyłączyli ten adres, ale temu samemu klientowi przydzielili nowy ^[3]. Przebieg pokazuje schemat poniżej.

RYS. 1Zgłoszenie nadużycia do dostawcy BPH

Do czego służy

Serwery LolekHosted według policji służyły do obsługi fikcyjnych sklepów, kampanii phishingowych, „fałszywych inwestycji”, ataków DDoS, ransomware, masowego spamu, dystrybucji złośliwego oprogramowania i forów o tematyce przestępczej ^[1]. Instytut Cyberbezpieczeństwa dodaje serwery dowodzenia botnetów i ataki ransomware Netwalker ^[2].

Aeza Group, dostawca z Petersburga, obsługiwał według Departamentu Skarbu USA operatorów infostealerów Meduza i Lumma, ransomware BianLian, panele infostealera RedLine oraz darknetowy rynek narkotykowy BlackSprut ^[4]. CISA wymienia jako działania umożliwiane przez BPH ransomware, phishing, dostarczanie złośliwego oprogramowania i ataki odmowy usługi ^[5].

W WordPressie

Właściciel strony WordPress spotyka bulletproof hosting z dwóch stron. Po pierwsze, z takich serwerów przychodzą ataki na jego witrynę: skanowanie, próby logowania, pobieranie narzędzi przez przejęty kod. Po drugie, na nie trafiają dane wyprowadzone z przejętych stron, czyli cel eksfiltracji danych: hasła, dane z formularzy, dane kart zbierane przez web skimming.

Zgłoszenie nadużycia do takiego dostawcy zwykle niewiele daje, co pokazuje przykład Zservers ^[3]. Skuteczniejsze jest ograniczenie własnych połączeń wychodzących. WordPress pozwala zablokować zewnętrzne żądania HTTP stałą WP_HTTP_BLOCK_EXTERNAL; wtedy żądania może wysyłać tylko localhost i sama witryna, a wyjątki dopisuje się w WP_ACCESSIBLE_HOSTS ^[6].

define( 'WP_HTTP_BLOCK_EXTERNAL', true );
define( 'WP_ACCESSIBLE_HOSTS', 'api.wordpress.org,*.github.com' );

Dokumentacja podaje ten zapis jako przykład konfiguracji z listą dozwolonych hostów ^[6]. Wtyczka, która po włączeniu tej stałej spróbuje przez WordPress połączyć się z hostem spoza listy, zostanie zablokowana.

Jak się bronić

Zalecenia CISA dla obrońców sieci obejmują budowanie list złośliwych zasobów z kanałów threat intelligence, filtrowanie ruchu tak, by nie blokować legalnych działań, monitorowanie ruchu w poszukiwaniu anomalii oraz rejestrowanie numerów systemów autonomicznych (ASN) i adresów IP z alertami na złośliwą aktywność ^[5]. CISA zaleca też współpracę podmiotów publicznych i prywatnych ^[5].

W praktyce właściciela strony przekłada się to na kilka warstw:

• blokady adresów i sieci znanych z ataków w WAF albo zaporze sieciowej;
• zapisywanie wskaźników kompromitacji, czyli adresów i domen, z którymi łączył się złośliwy kod;
• wpisy na listy blokowanych, opisane w haśle wpis na czarną listę;
• ograniczenie połączeń wychodzących serwera do znanych usług.

Blokowanie całych sieci ma koszt, bo zbyt szeroki filtr zatrzyma też legalny ruch. Dlatego CISA podkreśla filtrowanie bez zakłócania legalnych działań ^[5].

Historia i przykłady

W sierpniu 2023 roku Centralne Biuro Zwalczania Cyberprzestępczości zatrzymało pięć osób, w tym kierującego operacją, we współpracy z grupą J-CAT, centrum EC3 Europolu i FBI ^[1]. Zabezpieczono setki serwerów z dziesiątkami terabajtów danych oraz kryptowaluty; według policji pokrzywdzonych mogło być setki tysięcy, a straty sięgają milionów dolarów ^[1]. Operatorowi platformy grozi według Instytutu Cyberbezpieczeństwa do 45 lat więzienia za oszustwa komputerowe, bankowe i pranie pieniędzy ^[2].

11 lutego 2025 roku USA, Australia i Wielka Brytania wspólnie objęły sankcjami Zservers za udostępnianie infrastruktury współpracownikom grupy LockBit ^[3]. Firma reklamowała usługi BPH na forach przestępczych jako sposób na uniknięcie śledztw i zamknięć ^[3]. 1 lipca 2025 roku Departament Skarbu USA objął sankcjami Aeza Group, dwie powiązane spółki i czterech jej liderów ^[4]. 19 listopada 2025 roku CISA z NSA, FBI i partnerami zagranicznymi wydała przewodnik o ograniczaniu ryzyka ze strony dostawców BPH ^[5].