Als „bulletproof" bezeichnete Hoster sind spezialisierte kriminelle Geschäftsmodelle: Sie vermieten Infrastruktur mit dem Versprechen, Missbrauchsbeschwerden und Anfragen von Strafverfolgungsbehörden zu ignorieren. Laut Gerichtsunterlagen warb Virtualine offen in Cybercrime-Foren und bot Hosting für „alle illegalen/Black-Hat-Aktivitäten" an, einschließlich Phishing, Carding und Spam. Zwar gab der Anbieter an, Kunden aus den Bereichen Terrorismus und Missbrauchsdarstellungen auszuschließen, doch nach Darstellung der Staatsanwaltschaft wurden diese Einschränkungen nicht durchgesetzt. Im Juni 2025 prahlte Virtualine auf HackForums, man habe „mehr Missbrauchsmeldungen ignoriert als deine letzten drei Therapeuten".

Im Januar — etwa einen Monat, nachdem das Unternehmen mutmaßlich eine IP-Adresse für ein Forum bereitgestellt hatte, über das sexuell explizite Bilder Minderjähriger verkauft, intime Aufnahmen ohne Einwilligung verbreitet und Dienste zum Hacken von Konten beworben wurden — gingen Beschwerden von Behörden aus Deutschland, Kanada und Australien ein, ebenso vom National Center for Missing and Exploited Children und vom Anwalt eines Opfers. Statt dem Forum die Dienste zu kündigen, half Virtualine dessen Betreibern nach Angaben des Justizministeriums beim Aufbau einer weiteren Seite zum Hoch- und Herunterladen illegaler Inhalte. Diese Seite blieb trotz Beschwerden zu sexuell explizitem Bildmaterial von Kindern online.

Zahlungen nahm Virtualine in Bitcoin entgegen, über einen selbst so benannten Dienst „BTC [NO-AML]" — in Anspielung auf Geldwäscheprüfungen. Die Staatsanwaltschaft erklärt, Virtualine habe versucht, die Erlöse zu waschen und ihre Herkunft zu verschleiern; ein Teil der Zahlungen ließ sich dennoch kriminellen Gruppen zuordnen.

Die Ermittlungen führte das Washington Field Office des FBI, unterstützt von Behörden in Deutschland, den Niederlanden und Großbritannien sowie den privatwirtschaftlichen Partnern OverRIPE und Lumen. Die Betreiber von Virtualine nannte das Justizministerium zum Zeitpunkt der Domainbeschlagnahme nicht, Anklagen wurden nicht bekanntgegeben.

Die Aktion reiht sich in eine Serie internationaler Maßnahmen gegen Bulletproof-Hoster ein, insbesondere gegen Russland-nahe Dienste, denen Unterstützung von Ransomware-Gruppen vorgeworfen wird. Im Februar 2025 sanktionierten die USA, Großbritannien und Australien Zservers wegen mutmaßlicher Unterstützung der LockBit-Gruppe; die niederländische Polizei beschlagnahmte in derselben Woche 127 Server. Im Juli 2025 sanktionierte das US-Finanzministerium die in Russland ansässige Aeza Group, die die Ransomware-Gruppe BianLian und Infostealer-Schadsoftware gehostet haben soll; Forscher brachten den Anbieter zudem mit der Desinformationskampagne Doppelgänger in Verbindung. Im November sanktionierten die drei Länder Media Land wegen mutmaßlicher Verbindungen zu LockBit, BlackSuit und Play; US-Staatsanwälte hatten in diesem Fall drei mutmaßliche Betreiber angeklagt und bezifferten die Opferschäden auf rund 62 Millionen Dollar. Im Mai nahmen niederländische Behörden zwei Männer fest und beschlagnahmten 800 Server bei Ermittlungen zur Infrastruktur rund um Stark Industries, einen EU-sanktionierten Anbieter, dem die Ermöglichung russischer Cyberoperationen vorgeworfen wird. Nach Angaben der Ermittler übernahm nach den Sanktionen ein anderes Unternehmen Starks Infrastruktur.

Die langfristige Wirkung solcher Schläge ist umstritten: Das Threat-Intelligence-Unternehmen Intel 471 berichtete im August, die Störungen hätten Kunden zu neueren Anbietern getrieben, die von früheren Resellern betrieben werden — der Markt fragmentiere sich, statt dass die Nachfrage verschwinde.