Bulletproof Hosting

El 83% de los exploits dirigidos contra Ivanti EPMM en enero de 2026 procedian de una unica direccion IP alojada en infraestructura bulletproof, segun el analisis de GreyNoise Intelligence. Esa misma IP fue vinculada al compromiso de la Comision Europea, el sistema de salud del Reino Unido y organismos de seguridad de la OTAN. No era un servidor en un bunker subterraneo ni una red oscura sofisticada: era un simple VPS en un proveedor de hosting que ignora sistematicamente las solicitudes legales de retirada. Eso es, en esencia, el bulletproof hosting: la columna vertebral invisible del cibercrimen moderno, el refugio digital que permite que phishing, ransomware, botnets y mercados ilegales sigan operando durante meses o anos sin que nadie los apague.

Definicion tecnica

Bulletproof hosting (BPH, alojamiento a prueba de balas) es un servicio de alojamiento web que ignora deliberadamente las solicitudes de retirada de contenido (takedown requests), las notificaciones de abuso y, en muchos casos, las ordenes judiciales de jurisdicciones extranjeras. Estos proveedores ofrecen infraestructura de servidores a clientes que necesitan garantias de permanencia para actividades ilicitas o controvertidas.

A diferencia de un proveedor de hosting convencional que suspenderia una cuenta tras recibir una notificacion de abuso, un proveedor bulletproof:

1. Ignora las notificaciones de abuso enviadas por CERTs, fuerzas de seguridad y victimas
2. Opera en jurisdicciones con legislacion laxa o con escasa cooperacion policial internacional
3. Ofrece migracion rapida de contenidos entre IPs y servidores cuando una direccion es bloqueada
4. Acepta pagos anonimos en criptomonedas para dificultar el rastreo financiero
5. Proporciona capas de anonimizacion (registros WHOIS privados, empresas pantalla, reverse proxies)

Estadisticas clave:

Hosting convencional vs. bulletproof hosting

Modelo de negocio del bulletproof hosting

Estructura de precios

Los proveedores BPH operan como empresas de hosting normales, pero con precios premium que reflejan el riesgo legal y operativo:

Jurisdicciones preferidas

Los proveedores BPH se establecen en paises con una o mas de estas caracteristicas: legislacion de ciberdelitos debil, baja cooperacion policial internacional, corrupcion en fuerzas de seguridad, o ausencia de tratados de extradicion.

Blanqueo de dinero

Los proveedores BPH necesitan convertir pagos en criptomoneda a moneda fiat. Los metodos mas documentados incluyen:

• Mixers de Bitcoin: Servicios como Tornado Cash (sancionado por OFAC en 2022) o Chipmixer (cerrado 2023)
• Exchanges sin KYC: Plataformas P2P como Bisq o LocalBitcoins (cerrado 2024)
• Monero (XMR): Criptomoneda con privacidad nativa, preferida para transacciones de alto valor
• Shell companies: Empresas pantalla en jurisdicciones offshore que facturan servicios “legitimos” de hosting
• Money mules: Redes de mulas bancarias que retiran efectivo de cuentas intermediarias

Proveedores de bulletproof hosting historicos

CyberBunker (Paises Bajos/Alemania, 2013-2019)

Quiza el caso mas emblematico de BPH. Operado desde un bunker militar de la OTAN en Traben-Trarbach (Alemania), CyberBunker alojo durante anos:

• Silk Road y otros mercados de la dark web
• Infraestructura C2 de multiples botnets
• Servidores de spam masivo
• Sitios de carding (venta de tarjetas robadas)

Desmantelamiento: En septiembre de 2019, la policia alemana (BKA) asalto el bunker fisico con 600 agentes. 7 personas fueron arrestadas. El juicio en el Tribunal Regional de Trier (2021) condeno al operador principal, Herman-Johan Xennt, a 5 anos y 9 meses de prision por participacion en organizacion criminal.

Leccion forense: El caso demostro que incluso un bunker fisico con seguridad militar puede ser desmantelado cuando hay cooperacion internacional. La investigacion duro 5 anos y requirio cooperacion entre Alemania, Paises Bajos, Europol y FBI.

Yalishanda (Rusia, 2005-presente)

Uno de los proveedores BPH mas longevos, vinculado por investigadores de Brian Krebs y Recorded Future a:

• Infraestructura de ransomware (REvil, Conti)
• Servidores C2 de troyanos bancarios
• Redes de spam y phishing masivo
• Hosting de foros underground rusos

Caracteristicas: Opera mediante una red de revendedores y empresas pantalla. Utiliza ASNs (Autonomous System Numbers) que rotan entre proveedores de transito, dificultando el bloqueo a nivel de backbone.

Maxided (Moldavia/Rumania, 2008-2018)

Proveedor BPH desmantelado por Europol en 2018 tras una investigacion coordinada entre 10 paises:

• Alojaba mas de 50.000 sitios de phishing simultaneamente
• Infraestructura de distribucion de malware (exploit kits Angler y RIG)
• Servicios para mas de 60 grupos criminales distintos
• Facturacion estimada: 10-15 millones USD durante su operacion

Resultado judicial: 2 operadores arrestados en Moldavia. Servidores incautados en Rumania, Paises Bajos y Alemania.

Ecatel / Quasi Networks (Paises Bajos, 2003-2018)

Proveedor holandes que operaba en una zona gris: oficialmente un hosting “tolerante”, pero documentado por Spamhaus como proveedor de infraestructura para:

• SpamCannibal y otras redes de spam
• Servidores C2 de botnets (Storm Worm, Waledac)
• Sitios de distribucion de malware

Desenlace: Presion de Spamhaus y la comunidad de seguridad llevo a que proveedores de transito (upstream ISPs) cortaran la conectividad de Ecatel, forzando su cierre efectivo.

Que se aloja en bulletproof hosting

Caso de estudio: Ivanti EPMM 2026 y la IP bulletproof

En enero de 2026, investigadores de GreyNoise Intelligence detectaron una campana masiva de explotacion de dos vulnerabilidades zero-day en Ivanti Endpoint Manager Mobile (EPMM), identificadas como CVE-2025-4427 y CVE-2025-4428. Lo que hizo unico este caso fue la concentracion del ataque: el 83% de las IPs atacantes procedian de una sola direccion IP alojada en infraestructura bulletproof.

Timeline del ataque

Analisis de la infraestructura

La IP atacante fue rastreada hasta Proton66, un proveedor de hosting ruso identificado por Trustwave SpiderLabs como bulletproof hosting con vinculos a campanas de malware, exploits y operaciones de escaneo masivo. Proton66 opera bajo ASN 198953 y ha sido asociado con:

• Distribucion de malware GootLoader, SpyNote y DanaBot
• Campanas de fuerza bruta contra servicios SSH y RDP
• Escaneo masivo de vulnerabilidades a escala global
• Alojamiento de paneles C2 para troyanos bancarios

Implicacion forense: El hecho de que una unica IP concentrara el 83% de la explotacion sugiere que el atacante utilizaba un unico servidor dedicado en infraestructura BPH con alta capacidad de ancho de banda, confiando en que el proveedor no responderia a las notificaciones de abuso.

Investigacion forense de infraestructura bulletproof

Cuando un ciberataque se origina desde infraestructura BPH, el perito informatico forense debe aplicar tecnicas especificas para rastrear el origen y documentar la cadena de ataque, sabiendo que la cooperacion del proveedor de hosting sera nula.

Herramientas para investigacion de infraestructura BPH

Marco legal y desafios jurisdiccionales

El problema fundamental

La persecucion penal de proveedores de bulletproof hosting choca con un obstaculo estructural: la fragmentacion jurisdiccional. El proveedor opera en el pais A, el servidor esta fisicamente en el pais B, la victima esta en el pais C y el atacante en el pais D. Cada jurisdiccion tiene su propia legislacion, sus propios plazos procesales y su propia disposicion a cooperar.

Convenio de Budapest (2001)

El Convenio sobre Ciberdelincuencia del Consejo de Europa (ratificado por Espana) establece en su Art. 6 la tipificacion de la produccion, venta y distribucion de dispositivos y herramientas para cometer ciberdelitos, lo que incluye la provision de infraestructura BPH con conocimiento de su uso criminal.

Art. 12 - Responsabilidad de personas juridicas: Permite perseguir a la empresa que opera el BPH, no solo a las personas fisicas.

Limitacion: Rusia, China y otros paises donde operan muchos BPH no han ratificado el Convenio.

Codigo Penal espanol

Art. 264 ter CP - Facilitacion de herramientas para delitos informaticos:

“Sera castigado […] el que, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o de cualquier modo facilite a terceros […] programas informaticos concebidos o adaptados principalmente para la comision de alguno de los delitos [informaticos].”

Aplicacion a BPH: Un proveedor de hosting que deliberadamente facilita infraestructura a ciberdelincuentes puede ser perseguido bajo este articulo, aunque la interpretacion depende de demostrar conocimiento del uso criminal.

Art. 264 bis CP - Obstruccion a sistemas informaticos:

Aplicable cuando la infraestructura BPH se usa para DDoS o ataques contra servicios esenciales. Pena: 3-8 anos prision.

Art. 570 bis CP - Organizacion criminal:

Si el proveedor BPH opera como parte de una estructura organizada con division de roles y animo de lucro continuado. CyberBunker fue condenado bajo legislacion equivalente alemana.

LSSI (Ley 34/2002) - Responsabilidad de prestadores de servicios

Art. 16 LSSI: Los prestadores de servicios de alojamiento no son responsables de la informacion almacenada si:

• No tienen conocimiento efectivo del caracter ilicito
• Actuan con diligencia para retirar contenido tras conocimiento

Aplicacion a BPH: Un proveedor que ignora deliberadamente notificaciones de abuso pierde la proteccion del Art. 16 y pasa a ser corresponsable de los delitos cometidos desde su infraestructura.

Reglamento de Servicios Digitales (DSA, UE 2022)

El Digital Services Act refuerza las obligaciones de los proveedores de hosting dentro de la UE:

• Obligacion de mantener punto de contacto para autoridades
• Plazo maximo de respuesta ante ordenes de retirada
• Sanciones de hasta el 6% de facturacion global por incumplimiento

Limitacion: No aplica a proveedores fuera de la UE, que es donde operan la mayoria de BPH.

Cooperacion judicial internacional

Caso practico: rastreo de infraestructura BPH en ataque a PYME espanola

Nota: El siguiente caso esta basado en patrones reales de investigaciones forenses. Los datos especificos han sido anonimizados para proteger la confidencialidad de los afectados.

Victima: Empresa de logistica, 120 empleados, Andalucia Incidente: Ransomware LockBit con exfiltracion de 28 GB de datos de clientes Perdida: 85.000 EUR en tiempo de inactividad + coste de respuesta

Hallazgos forenses relevantes a BPH

Tecnicas de rastreo aplicadas

Resultado: Informe pericial de 74 paginas documentando la cadena completa: vector de entrada (phishing), persistencia (Cobalt Strike beacon, 147 dias), exfiltracion (28 GB via BPH ruso), e infraestructura C2. La denuncia ante Policia Nacional incluyo toda la trazabilidad para facilitar cooperacion internacional via Europol.

Coste pericial

Total tipico: 4.450-8.000 EUR

FAQ

Que es un bulletproof hosting y por que es dificil desmantelarlo?

Un bulletproof hosting es un servicio de alojamiento web que ignora deliberadamente las solicitudes legales de retirada de contenido, las notificaciones de abuso de CERTs y, en muchos casos, las ordenes judiciales de jurisdicciones extranjeras. Son dificiles de desmantelar por tres razones principales: (1) operan en jurisdicciones con legislacion laxa o sin tratados de extradicion (Moldavia, Seychelles, Rusia), (2) utilizan redes de empresas pantalla y pagos en criptomonedas que dificultan la atribucion, y (3) implementan migracion rapida de contenidos entre IPs y servidores cuando una direccion es bloqueada. El caso de CyberBunker demostro que incluso un BPH operando desde un bunker militar de la OTAN en Alemania requirio 5 anos de investigacion y la cooperacion de multiples agencias internacionales para ser desmantelado.

Como se usa bulletproof hosting en ciberataques?

Los ciberdelincuentes utilizan BPH como infraestructura base para practicamente todas las fases de un ciberataque: alojan servidores C2 de malware y ransomware (el 60-70% de C2 de ransomware activos operan desde BPH segun Recorded Future), operan paginas de phishing que permanecen activas 45 dias de media (frente a 4-6 horas en hosting normal), distribuyen exploit kits como Angler y RIG, gestionan botnets con millones de dispositivos infectados, y alojan mercados de la dark web para venta de datos robados, drogas y herramientas de cibercrimen. En el caso Ivanti EPMM de 2026, el 83% de los exploits que comprometieron la Comision Europea procedian de una sola IP en Proton66, un proveedor BPH ruso.

Puede un perito forense rastrear el origen de un ataque desde bulletproof hosting?

Si, aunque requiere tecnicas especificas porque el proveedor BPH no cooperara con la investigacion. El perito analiza: registros WHOIS historicos para identificar patrones de registro y posibles identidades (DomainTools, SecurityTrails), certificados SSL via Certificate Transparency Logs (crt.sh, Censys), DNS pasivo para mapear todos los dominios asociados a la IP atacante (PassiveTotal, Farsight DNSDB), correlacion con bases de datos de amenazas (VirusTotal, AbuseIPDB, Abuse.ch), y artefactos del malware que revelan infraestructura C2 adicional. La via mas efectiva es la trazabilidad a traves de los proveedores de transito (upstream ISPs / Tier-1 carriers) que si cooperan con autoridades y pueden proporcionar datos de NetFlow que documentan el trafico del atacante.

Conceptos relacionados

• C2 (Command and Control) - Infraestructura de control remoto de malware, frecuentemente alojada en BPH
• Dark Web - Mercados y servicios ilegales que dependen de infraestructura BPH para operar
• Botnet - Redes de dispositivos zombis cuya infraestructura C2 suele residir en BPH
• Trazabilidad de IPs - Tecnicas de rastreo de direcciones IP, fundamentales para investigar BPH
• Crime-as-a-Service (CaaS) - Ecosistema criminal que depende del BPH como pilar de infraestructura
• Ransomware (analisis forense) - El ransomware moderno usa BPH para C2, negociacion y blogs de filtraciones
• Phishing (analisis forense) - Las paginas de phishing duran 10x mas en BPH que en hosting convencional

Referencias y fuentes

1. GreyNoise Intelligence. (2026). “Mass Exploitation of Ivanti EPMM CVE-2025-4427 and CVE-2025-4428”. greynoise.io - 83% de exploits Ivanti desde una sola IP bulletproof
2. Trustwave SpiderLabs. (2025). “Proton66: A Bulletproof Hosting Provider Fueling Global Cybercrime”. trustwave.com - Analisis de Proton66 como proveedor BPH ruso
3. Krebs on Security. (2019). “CyberBunker Trial: The Bulletproof Hosting Case”. krebsonsecurity.com - Cobertura completa del caso CyberBunker
4. Europol. (2018). “Maxided Bulletproof Hosting Provider Taken Down”. europol.europa.eu - Desmantelamiento de Maxided: 50.000+ sitios phishing
5. Recorded Future. (2025). “Bulletproof Hosting: The Underground Infrastructure Report”. recordedfuture.com - 60-70% C2 ransomware en BPH
6. Trend Micro. (2025). “The Underground Economy of Bulletproof Hosting”. trendmicro.com - Precios y modelos de negocio BPH
7. Netcraft. (2025). “Phishing Site Longevity Report 2025”. netcraft.com - Sitios phishing en BPH activos 45 dias de media
8. Brian Krebs. (2021). “Who Is the Network Access Broker ‘Yalishanda’?”. krebsonsecurity.com - Investigacion del proveedor BPH Yalishanda
9. Convenio de Budapest. (2001). Arts. 6 y 12. coe.int - Marco juridico internacional contra facilitacion de cibercrimen
10. Codigo Penal espanol: Arts. 264 ter (facilitacion herramientas), 264 bis (obstruccion sistemas), 570 bis (organizacion criminal)
11. Reglamento (UE) 2022/2065 (DSA): Obligaciones de proveedores de hosting en la UE
12. Spamhaus. (2024). “The World’s Worst Bulletproof Hosting Providers”. spamhaus.org - Ranking y analisis de proveedores BPH activos

Ultima actualizacion: Febrero 2026 Categoria: Ciberataques Codigo: ATK-012